Política de privacidade

1. Quem cuida dos seus dados

Controlador: Bruno Borges, advogado, pessoa física, CPF [DECIDIR: CPF], com endereço em [DECIDIR: endereço]. Contato para privacidade: WhatsApp [DECIDIR: número] e e-mail [DECIDIR: e-mail].

Encarregado (DPO): [DECIDIR: nome do encarregado, ou o canal de atendimento, se houver dispensa como agente de pequeno porte (Resolução CD/ANPD nº 2/2022)].

2. A quem esta política se aplica

Ela vale para as pessoas que usam o rito: gestão e equipe dos escritórios do beta.

Ela não vale para os dados que os escritórios guardam no rito, como leads, clientes, processos e fichas públicas. Sobre esses dados, quem decide é o escritório (o controlador). O rito só os trata em nome dele, conforme o Contrato de operador. Se você é cliente ou lead de um escritório, fale com ele. Se o pedido chegar ao rito, ele é encaminhado ao escritório.

3. Que dados tratamos

• Nome, e-mail e foto do perfil Google, que o Google envia quando você entra. O rito usa o nome e o e-mail.
• Dados do escritório: nome, CPF ou CNPJ, OAB, contatos, endereço, logotipo e cor.
• Áreas que cada pessoa acessa e convites enviados.
• Aceite deste termo e desta política, com versão, data, hora e endereço IP.
• Histórico de atividades: quem fez o quê e quando.
• Registros de acesso: data, hora e endereço IP de cada acesso.
• Sugestões enviadas pelo botão "Enviar sugestão" e a tela de onde vieram.

Na ficha pública, o IP do visitante também é usado para limitar envios em excesso, guardado só como código irreversível (hash). A abertura da ficha entra nos registros de acesso, como qualquer acesso.

4. Para que usamos e com que base legal

• Criar e manter a conta, dar acesso e prestar o serviço: execução de contrato (LGPD, art. 7º, V).
• Guardar os registros de acesso por 6 meses: obrigação legal (art. 7º, II; Marco Civil da Internet, art. 15).
• Proteger o sistema (login, anti-robô, limites de envio, investigação de abuso): legítimo interesse (art. 7º, IX).
• Responder às sugestões e avisar sobre mudanças no serviço: execução de contrato (art. 7º, V).
• Guardar o aceite e o histórico para defesa em processos: exercício regular de direitos (art. 7º, VI).

O rito não vende dados, não mostra anúncios, não usa ferramentas de análise de terceiros e não usa inteligência artificial com os dados.

5. Com quem compartilhamos

• Supabase: banco de dados, login e arquivos, com servidores em São Paulo.
• Vercel: hospedagem do sistema, com as funções em São Paulo e entrega das páginas por rede mundial.
• Google: entrada com a conta Google.
• Cloudflare (Turnstile): anti-robô da ficha pública.
• GitHub: guarda só a cópia diária de segurança, criptografada com a chave do operador. Sem essa chave, a cópia é ilegível.
• ViaCEP: o navegador envia só o CEP, para preencher o endereço.

Também compartilhamos dados quando a lei ou uma ordem judicial exigir.

6. Transferência para fora do Brasil

Os dados ficam em servidores em São Paulo. Alguns fornecedores são empresas estrangeiras e podem tratar dados fora do Brasil para suporte, segurança, entrega das páginas, entrada com Google ou guarda da cópia criptografada. Nesses casos, o rito segue o art. 33 da LGPD e a regulamentação da ANPD [CONFERIR: Resolução CD/ANPD nº 19/2024 e as cláusulas de cada fornecedor].

7. Por quanto tempo guardamos

• Conta e dados do escritório: enquanto o escritório usar o rito. Depois do beta, segue o fim descrito no termo (7 dias, mais 60 dias só para consulta, e eliminação).
• Registros de acesso: 6 meses. Depois, são apagados.
• Aceites: enquanto durar o uso e pelo prazo de prescrição [CONFERIR: prazo aplicável].
• Itens excluídos: ficam na lixeira por 30 dias, com opção de restaurar.
• Cópias de segurança: 30 dias as do banco de dados e 7 dias as dos arquivos enviados.

8. Como protegemos

• Separação entre escritórios no próprio banco de dados: cada escritório só vê os próprios dados.
• Conexão criptografada (HTTPS) em todo o sistema.
• Entrada sem senha, pela conta Google.
• Convites de uso único, com vencimento, aceitos só pelo e-mail convidado.
• Permissões por área, definidas pela gestão, que pode desativar um acesso na hora.
• Chaves de acesso fora do código; as chaves de ZapSign e Asaas de cada escritório ficam em cofre.
• Cópia diária criptografada com uma chave que só o operador tem.

Nenhum sistema é totalmente imune a falhas. Se houver um incidente que possa causar risco ou dano relevante, o operador avisa os afetados e a ANPD, como manda a lei.

9. Cookies e armazenamento no aparelho

• Cookies de sessão, para manter você conectado.
• Cookie "tema", para lembrar se você prefere o tema claro ou escuro.
• Cookie de registro de acesso, que só evita gravar o mesmo acesso mais de uma vez em 30 minutos.
• Rascunho da ficha pública, no aparelho do visitante, por até 24 horas, sem CPF nem CNPJ.

O rito não usa cookies de publicidade nem de rastreamento.

10. Seus direitos

Pelo art. 18 da LGPD, você pode pedir confirmação e acesso aos seus dados, correção, anonimização, bloqueio ou eliminação do que for desnecessário, portabilidade e informação sobre com quem compartilhamos. Peça pelo contato do item 1. Respondemos em até [DECIDIR: prazo; a LGPD prevê 15 dias para a declaração completa, art. 19, II]. Você também pode reclamar à ANPD.

11. Mudanças nesta política

Quando esta política mudar, a versão muda e o rito pede um novo aceite.