Política de Privacidade

1. Escopo e controlador

Esta política se aplica ao uso da plataforma de assinatura eletrônica, incluindo o envio, a autenticação e a consulta do dossiê de evidências. Para os documentos enviados por uma organização, o tenant que decide as finalidades do envio e os signatários normalmente atua como controlador desses dados. O operador da plataforma trata os dados conforme as instruções do tenant e a legislação aplicável.

O contato do controlador é o endereço de e-mail de suporte configurado no tenant. Use esse canal para dúvidas, pedidos de titulares ou esclarecimentos sobre um documento específico. A mensagem pode ser encaminhada ao responsável adequado quando o pedido envolver mais de uma organização.

2. Dados tratados

Coletamos e registramos somente o que é necessário para o fluxo utilizado. As categorias podem incluir:

• Identificação e contato: nome e endereço de e-mail informados na conta ou pelo tenant para cadastrar um signatário. CPF pode ser informado de forma opcional, quando o tenant entender que é necessário para o documento.
• Dados do dossiê: registros de autenticação e assinatura, identificadores do documento, datas e horários, aceite ou recusa, hashes e demais eventos necessários para reconstruir a cadeia de evidências.
• Dados técnicos: endereço IP e agente do dispositivo (user-agent) associados aos eventos registrados, além de informações técnicas indispensáveis à segurança e ao funcionamento do serviço.
• Localização: geolocalização somente quando o dispositivo a disponibilizar com permissão explícita do titular. Negar essa permissão não autoriza a coleta silenciosa ou contínua da localização.
• Conteúdo enviado: arquivos, mensagens e informações presentes nos documentos que o tenant enviar para assinatura. O conteúdo pode conter dados de terceiros; o tenant deve avaliar sua necessidade e sua base legal antes do envio.

Não coletamos, por padrão, dados pessoais sensíveis nem biometria. O serviço não deve ser utilizado para enviar esse tipo de dado sem avaliação jurídica, necessidade demonstrada e atualização das informações de privacidade aplicáveis ao caso.

3. Finalidades do tratamento

Os dados são utilizados para autenticar o signatário e enviar o código de confirmação, permitir a assinatura e o acompanhamento do documento, prevenir fraude e abuso, proteger contas e formar o dossiê probatório. Também podemos utilizá-los para prestar suporte, cumprir obrigações legais, responder a requisições de autoridades e manter a segurança, a disponibilidade e a integridade do serviço.

Não utilizamos o conteúdo dos documentos para publicidade dirigida nem vendemos dados pessoais. O tenant continua responsável por definir se o documento pode ser enviado, por informar os signatários e por limitar o conteúdo ao necessário.

4. Bases legais

O tratamento é realizado conforme a finalidade e a relação concreta com o titular. Entre as bases do art. 7º da Lei Geral de Proteção de Dados Pessoais (LGPD) que podem ser aplicáveis estão:

• execução de contrato ou de procedimentos preliminares, inclusive para viabilizar a assinatura solicitada;
• exercício regular de direitos e proteção do crédito, quando aplicáveis ao documento, à relação entre as partes ou à defesa em processo;
• legítimo interesse, especialmente para segurança e prevenção a fraude, sempre com necessidade, equilíbrio e respeito aos direitos do titular; e
• consentimento, quando exigido, como na permissão do dispositivo para compartilhar geolocalização. O titular pode recusá-lo ou revogá-lo sem impedir tratamentos que tenham outra base legal.

As bases do art. 11, II, alíneas “d” e “g”, da LGPD não são aplicadas por padrão, porque a plataforma não coleta dados pessoais sensíveis ou biometria no fluxo descrito nesta política. Se um produto ou integração vier a tratar dado sensível, a finalidade, necessidade e base legal serão avaliadas e comunicadas antes do tratamento.

5. Minimização e segurança

Limitamos a coleta ao que é necessário para autenticar, registrar e proteger o fluxo. O tenant deve evitar CPF, localização e qualquer outra informação que não seja necessária para o negócio. Usamos controles de acesso, registro de eventos e medidas técnicas e organizacionais compatíveis com o serviço para reduzir riscos de acesso indevido, alteração ou perda.

Nenhuma transmissão ou armazenamento conectado à internet é absolutamente imune a incidentes. Se ocorrer um evento relevante, adotaremos as medidas cabíveis e faremos as comunicações exigidas pela LGPD e pela autoridade competente.

6. Compartilhamento e operadores

Para entregar o serviço, os dados podem ser compartilhados com:

• o tenant e os participantes autorizados do documento, conforme o fluxo e as permissões definidos pelo tenant;
• o provedor de e-mail transacional Resend, para o envio de convites e códigos de autenticação;
• provedores de hospedagem, armazenamento e infraestrutura necessários para manter a aplicação, os documentos e os registros; e
• autoridades públicas, advogados ou terceiros legitimamente habilitados, quando houver obrigação legal, ordem válida ou necessidade de exercício regular de direitos.

Não comercializamos dados pessoais. Os fornecedores recebem apenas o que for necessário à atividade contratada e devem observar obrigações de segurança e confidencialidade compatíveis com sua função.

7. Retenção e descarte

Documentos concluídos e seus dossiês de evidências são mantidos por um prazo mínimo de 5 anos, de forma uniforme, observados o prazo legal ou contratual aplicável e a necessidade de preservação da prova. Não realizamos exclusão automática ao fim desse prazo; a eliminação só ocorre por obrigação legal e é registrada no histórico de eventos. Dados de suporte, segurança e contas podem ter prazos diferentes, definidos pela sua finalidade.

O cancelamento de um documento é registrado como evento visível e não apaga os registros anteriores. Por essa razão, documentos e dossiês de um documento concluído não são eliminados mediante o fluxo comum de exclusão. Quando a retenção terminar e não houver obrigação de preservação, os dados serão eliminados ou anonimizados quando tecnicamente possível, respeitando cópias de segurança e prazos necessários para sua rotação.

8. Direitos do titular

Nos termos da LGPD, o titular pode solicitar confirmação da existência de tratamento, acesso aos dados, correção de dados incompletos ou desatualizados, informações sobre uso e compartilhamento, portabilidade quando regulamentada, revisão de decisões automatizadas quando aplicável e eliminação ou oposição nos casos previstos em lei. Também pode revogar um consentimento, sem afetar tratamentos anteriores ou tratamentos apoiados em outra base legal.

O direito de eliminação não se aplica automaticamente a documentos e dossiês mantidos para preservar evidências, cumprir obrigação legal ou exercer direitos. Nesses casos, explicaremos a razão e avaliaremos medidas compatíveis, como correção, restrição de acesso ou anonimização quando possível. Para proteger as pessoas envolvidas, podemos solicitar informações que confirmem a identidade e a relação do solicitante com o documento.

Envie a solicitação ao e-mail de suporte configurado no tenant, informando o pedido e o documento relacionado, se houver. O controlador responderá dentro dos prazos legais e poderá envolver o tenant ou outro responsável quando a decisão depender dele.

9. Atualizações desta política

Esta política pode ser atualizada para refletir mudanças na lei, no serviço ou nas operações de tratamento. A versão vigente, a data de início e o histórico essencial ficarão disponíveis nesta página. Mudanças relevantes serão comunicadas por meio adequado quando exigido pela LGPD.