Política de privacidade para serviço de software

1 Responsável e alcance da política

Esta política descreve o tratamento de dados pessoais relacionado a [SERVIÇO E DOMÍNIOS], prestado por [RAZÃO SOCIAL], [CNPJ E ENDEREÇO]. O canal para questões e direitos de privacidade é [CANAL DE PRIVACIDADE]. Encarregado ou representante, quando designado ou exigido: [IDENTIFICAÇÃO E CONTATO].

O serviço é voltado ao uso profissional por organizações e seus usuários autorizados. A política se aplica às operações efetivamente realizadas e às leis que incidirem em cada caso. Informações de uma organização podem conter dados pessoais de seus representantes, colaboradores e outras pessoas.

2 Papéis no tratamento

A organização cliente normalmente decide as finalidades dos dados que insere e administra em seu espaço, atuando como controladora. A prestadora trata esse conteúdo por sua conta e segundo instruções, como operadora, nos limites do contrato e do anexo de dados.

A prestadora poderá ser controladora para operações próprias delimitadas, como manter sua relação contratual, administrar contas e segurança, cumprir obrigações e exercer direitos. Prestadores de pagamento e outros destinatários podem ter papéis próprios previstos em lei. A atribuição será confirmada por operação; não se presume que todos sejam operadores ou que a cliente determine todas as finalidades da prestadora.

3 Dados e fontes previstos no serviço

Dados fornecidos diretamente incluem nome da organização, razão social, documento de identificação fiscal quando informado, nome e dados de representação do responsável, e-mail de contato, telefone, site, setor e porte da empresa. Também são tratados vínculos e perfis de acesso, solicitações de suporte e registros inseridos por usuários. A organização pode cadastrar convites e informações profissionais de participantes, devendo informar essas pessoas e ter fundamento para fazê-lo.

País, estado ou região e cidade são informados no cadastro da empresa e podem ser corrigidos. Localidades não preenchidas permanecem como não informadas. As estatísticas por localidade usam o agrupamento desses dados cadastrais; esse recurso não deduz a localização por IP, não solicita GPS e não acompanha deslocamentos das pessoas.

O conteúdo pode abranger problemas de negócio, ideias, avaliações, evidências e registros gerenciais que contenham dados pessoais. Insira apenas o necessário. Não solicitamos deliberadamente dados sensíveis ou de crianças para o funcionamento ordinário; operações que os exijam dependerão de análise e salvaguardas específicas.

Podem existir registros técnicos de autenticação, último login, ações auditadas, permissões, horário e demais dados de segurança efetivamente necessários. Dados de rede e acesso que a hospedagem ou a aplicação registrarem, como IP ou identificadores técnicos, deverão constar do inventário [CATEGORIAS E RETENÇÃO DOS LOGS]. A auditoria de ações não mede todas as leituras, sessões ou duração de uso.

Na gestão de cobrança, o aplicativo mantém referências de cliente, assinatura e fatura, estado, moeda, valores devidos ou pagos, vencimento, período e sinais de confirmação recebidos do processador de pagamentos quando a integração estiver configurada. O processador previsto é a Stripe, a ser identificado juntamente com seu papel e aviso em [PROCESSADOR DE PAGAMENTOS E CONDIÇÕES EFETIVAS]. São conservados os campos necessários ao acompanhamento, sem importar indiscriminadamente os dados do processador. Dados completos de cartão são tratados no ambiente do processador; não devem ser inseridos nos campos livres do serviço.

A administração da prestadora pode registrar receitas e despesas gerenciais, datas, categorias, moeda e referências de documentos, além de ajustes ou estornos e seu histórico. Esses registros apoiam a gestão financeira da prestação do serviço e são separados dos registros financeiros de projetos inseridos pela organização cliente. Os campos livres não devem conter dados bancários, documentos pessoais ou outros dados além do necessário à finalidade do lançamento.

4 Finalidades e bases legais

Para criar e manter a relação com representantes da cliente, poderão ser tratados os dados necessários a providências prévias e execução contratual, quando essa base se aplicar à pessoa envolvida. Obrigações fiscais, regulatórias e outras obrigações legais terão a respectiva base legal identificada. O exercício regular de direitos poderá justificar conservação e uso estritamente necessários a uma pretensão concreta.

Segurança, prevenção de abuso e gestão operacional poderão apoiar-se em interesse legítimo quando cabível, com necessidade, avaliação das expectativas e impacto sobre os titulares, transparência e salvaguardas. Essa base não se aplica indistintamente a dados sensíveis e não autoriza qualquer finalidade.

O conteúdo tratado como operadora seguirá as instruções e a base legal definida pela controladora. Quando houver tratamento que dependa de consentimento, ele será solicitado para finalidade específica e poderá ser revogado nos termos legais. Esta política e a ciência do aviso de cookies não fornecem consentimento genérico. Completar [INVENTÁRIO DE OPERAÇÕES COM FINALIDADE E BASE LEGAL].

Dados cadastrais e contatos profissionais são usados para atendimento, suporte, administração de contas, testes gratuitos, comunicações relacionadas ao serviço e acompanhamento da relação comercial. A preferência sobre comunicações promocionais é registrada separadamente; o cadastro, por si só, não dispara campanhas automáticas. Qualquer campanha futura deverá ter finalidade, fundamento aplicável e meios adequados para alterar a preferência ou deixar de receber a comunicação.

As estatísticas agrupadas por país, estado ou região e cidade servem ao planejamento e acompanhamento da base de empresas. Não representam uma medição da localização atual de usuários nem autorizam publicidade baseada em localização precisa. O acesso permanece restrito à administração autorizada; agrupamento estatístico, especialmente com poucos registros, não deve ser presumido como anonimização irreversível.

5 Ideias e uso de conteúdo

A titularidade de ideias e demais conteúdos não é transferida à prestadora pelo uso do serviço. Não venderemos, licenciaremos, divulgaremos para exploração, utilizaremos em publicidade ou treinaremos modelos de inteligência artificial com esse material sem autorização prévia, específica, escrita e destacada dos titulares competentes.

O compromisso abrange informações confidenciais mesmo quando não forem dados pessoais. O acesso técnico necessário à prestação, por pessoas e fornecedores vinculados a sigilo e limitações de finalidade, e o cumprimento de exigência legal válida são exceções delimitadas. Não autorizam aproveitamento comercial das ideias ou divulgação livre a outras clientes.

6 Destinatários e acesso técnico

O acesso poderá envolver usuários autorizados pela cliente e prestadores necessários de hospedagem, banco de dados, cópias de segurança, comunicação transacional, suporte, segurança e pagamento, na medida da finalidade de cada um. A lista aprovada será [LISTA DE DESTINATÁRIOS E SUBOPERADORES COM FUNÇÃO E PAÍS].

O painel do proprietário permite consultar e administrar dados cadastrais e contatos das empresas, contas vinculadas, contagens de uso auditado, situação de acesso, testes e assinaturas e registros de cobrança e gestão financeira da prestadora. O painel comercial não exibe o teor das ideias ou evidências da cliente. Esse acesso administrativo não autoriza a exploração das ideias, o repasse para terceiros ou o uso de conteúdo confidencial em contatos comerciais ou estatísticas. Qualquer acesso técnico necessário ao conteúdo continua sujeito às finalidades e aos deveres de sigilo descritos nesta política e no contrato.

Suboperadores estarão vinculados por obrigações compatíveis de proteção e confidencialidade. Prestadores independentes deverão ter seu papel e aviso identificados. Autoridades ou outros destinatários legalmente legitimados poderão receber o mínimo necessário conforme exigência válida, com informação ao responsável quando permitida.

7 Localização e transferências internacionais

Região principal, países de armazenamento, suporte e acesso remoto: [REGIÕES E PAÍSES EFETIVOS]. Quando houver transferência internacional, serão identificados a finalidade, os dados, os participantes e o mecanismo jurídico aplicável, com salvaguardas adequadas e informação acessível aos titulares.

A contratação de nuvem, este aviso ou o DPA genérico não substituem os requisitos de transferência. Devem ser verificadas as hipóteses da LGPD e da regulamentação da ANPD e, se aplicável, do capítulo V do GDPR. Cláusulas oficiais, avaliações e medidas adicionais serão documentadas quando necessárias. O canal [CANAL DE PRIVACIDADE] atenderá pedidos de informações sobre as salvaguardas, preservadas restrições legalmente justificadas.

8 Retenção e eliminação

Os prazos serão definidos por finalidade e necessidade, não por conservação indiscriminada. Completar: contas e relação contratual [PRAZO]; conteúdo da cliente e janela de exportação [PRAZO]; segurança e auditoria [PRAZO E JUSTIFICATIVA]; referências de cobrança e obrigações legais [PRAZO E BASE]; cópias de segurança [RETENÇÃO E ROTAÇÃO].

Ao término ou quando cabível um pedido de eliminação, os dados serão eliminados, devolvidos, anonimizados ou terão seu tratamento limitado conforme a lei e as instruções válidas. Retenções excepcionais serão restritas à finalidade que as sustentar. Cópias de segurança seguirão rotação e controles, sem permitir reutilização corrente de dados eliminados. A preservação rotineira de histórico não afasta o exame de direitos dos titulares.

Excluir ou arquivar um cliente na operação é uma ação administrativa reversível que suspende o acesso ao espaço e preserva o cadastro e o histórico para eventual restauração, respeitadas as restrições de cobrança e de teste. Esse arquivamento não equivale à eliminação de dados pessoais prevista na LGPD ou em outra lei aplicável. Pedidos de eliminação seguem o canal de privacidade, a avaliação do direito, os prazos e as hipóteses legais de retenção; não são substituídos por um botão de arquivamento operacional.

9 Segurança e incidentes

São previstas medidas técnicas e organizacionais proporcionais ao risco, incluindo controle de acesso e de funções, autenticação de múltiplos fatores, proteção das comunicações, registros de segurança e procedimentos de continuidade. O inventário e a validação operacional dessas medidas, inclusive backups, recuperação e gestão de incidentes, constarão de [ANEXO DE SEGURANÇA E PROCEDIMENTOS]. Não há declaração de risco zero ou certificação não demonstrada.

Incidentes serão avaliados e tratados com contenção, investigação e cooperação. Comunicações à controladora, aos titulares e às autoridades observarão o papel de cada agente, o risco e os prazos legais aplicáveis. Para o conteúdo da cliente, a prestadora auxilia a controladora; para operações próprias, assume as obrigações que lhe couberem.

10 Direitos e como solicitar

Quando a LGPD se aplicar, o titular poderá solicitar confirmação e acesso, correção, anonimização, bloqueio ou eliminação nas hipóteses legais, portabilidade conforme regulamentação, informações sobre compartilhamento e consentimento, revogação e oposição quando cabíveis. Também poderá pedir revisão e informações sobre decisões unicamente automatizadas que afetem seus interesses, nas condições legais.

Envie o pedido a [CANAL DE PRIVACIDADE], indicando o direito e dados mínimos de localização. A identidade será verificada de forma proporcional, sem pedir senha ou dados excessivos. Se a organização cliente for a controladora, o pedido poderá ser encaminhado a ela com orientação ao solicitante. O procedimento não elimina a responsabilidade de cooperação da prestadora.

Os pedidos serão respondidos nos prazos da lei incidente, com motivos e informação sobre eventual extensão ou impossibilidade legal. A confirmação e o acesso sob a LGPD seguem as modalidades e prazos legais próprios. Quando o GDPR se aplicar, a regra geral é de um mês, com as extensões permitidas. Sob o CCPA aplicável, observar os prazos e exceções próprios, em geral 45 dias para solicitações verificáveis. Não se presume prazo único para todos os direitos e países.

11 Condições para Europa e Estados Unidos

Quando os critérios do GDPR forem preenchidos, poderão ser exercidos os direitos de acesso, retificação, apagamento, limitação, portabilidade, oposição e demais direitos pertinentes. O titular poderá reclamar à autoridade competente. A necessidade de representante, encarregado e mecanismos de transferência será avaliada conforme as operações, sem presumir dispensa pelo porte da empresa.

Para residentes da Califórnia e operações efetivamente sujeitas ao CCPA com alterações do CPRA, aplicam-se os direitos pertinentes de conhecer, acessar, corrigir e eliminar dados, não sofrer discriminação e limitar certos usos de informação sensível, além de optar por não haver venda ou sharing quando cabível. O serviço não prevê venda de dados pessoais ou sharing para publicidade comportamental entre contextos. [CANAIS E PROCEDIMENTOS CALIFÓRNIA] deverão ser definidos conforme o enquadramento.

Outras leis estaduais, federais e setoriais dos Estados Unidos e regras nacionais europeias poderão estabelecer obrigações diferentes. A indicação dessas normas não significa que todas se apliquem, que sejam equivalentes ou que este documento certifique conformidade em todos os territórios.

12 Cookies alterações e contato

O aviso de cookies detalha os identificadores técnicos e a lembrança local de ciência do aviso. A versão de referência não prevê analytics de terceiros ou pixels publicitários no aplicativo. Serviços externos acessados pelo usuário, como pagamento, podem ter avisos e tecnologias próprios.

Mudanças materiais serão informadas de forma adequada, com nova manifestação quando legalmente necessária. Identificação da versão e data: Minuta 2 de 29 de outubro de 2026. A versão final preencherá [URL DA POLÍTICA], [CANAL DE PRIVACIDADE] e [CANAL CONTRATUAL], e ficará acessível antes da coleta pertinente.

Fontes de referência da minuta

• Lei Geral de Proteção de Dados Pessoais Lei 13709 de 2018 texto atualizado
• ANPD Guia orientativo sobre agentes de tratamento e encarregado
• ANPD Resolução 19 de 2024 Regulamento de Transferência Internacional de Dados
• ANPD Comunicação de Incidente de Segurança Resolução 15 de 2024
• Regulamento UE 2016 679 GDPR em especial artigos 3 6 12 a 22 28 32 33 e 44 a 49
• Comissão Europeia Aplicação do GDPR a empresas e organizações
• Comissão Europeia Perguntas e respostas sobre cláusulas contratuais padrão
• CPPA Regulamentos CCPA vigentes desde 1 de janeiro de 2026 em especial seções 7002 7011 7050 e 7051
• Procuradoria Geral da Califórnia Direitos e âmbito do CCPA com alterações do CPRA
• CPPA Limiares monetários do CCPA ajustados pela inflação
• FTC Privacidade e segurança Orientações oficiais para empresas