Política de privacidade

Matheus Carlos dos Santos Consultoria em Tecnologia da Informação Ltda., CNPJ 50.886.111/0001-15, do Rio de Janeiro, RJ (“Contrattos”, “nós”), tem dois papéis, conforme o art. 5º, VI e VII, da LGPD:

• Controladora dos dados de conta, de cobrança e de uso do site e do sistema: nós decidimos para que e como tratá-los.
• Operadora dos dados que a sua empresa cadastra no sistema (contratos, fornecedores, pessoas citadas nos PDFs): a sua empresa é a controladora e o Contrattos trata esses dados só para prestar o serviço, seguindo as instruções dela.

Encarregado pelo tratamento de dados (DPO): Matheus Santos, contato@contrattos.com.br.

Dados de quem usa o sistema (nós somos a controladora):

• Conta: nome, e-mail, senha (guardada só como hash, nunca em texto), imagem de perfil se você enviar.
• Empresa: razão social, nome fantasia, CNPJ, unidades e áreas que você cadastra.
• Cobrança: plano, situação da assinatura e período, e o identificador do cliente no Stripe. Os dados do cartão ficam só com o Stripe.
• Uso: endereço IP, navegador, páginas acessadas, horário e registro de auditoria das ações (quem fez o quê e quando), para segurança, diagnóstico de erros e medição de audiência.
• Comunicação: e-mails que você nos envia e os que enviamos (convite, verificação, alertas de contrato, avisos de cobrança).

Dados que a sua empresa cadastra (em nome dela; nós somos a operadora):

• Contratos: PDFs, partes, objeto, valores, datas e cláusulas lidas pela IA e conferidas por você.
• Fornecedores: razão social, CNPJ ou CPF (de pessoa física), contatos e dados bancários, que ficam cifrados.
• Pessoas da sua equipe: nome, e-mail, papel e unidades que administram.

Não pedimos dados sensíveis no sentido da LGPD (saúde, origem, religião, biometria) e recomendamos não enviá-los. Se um contrato contiver esse tipo de dado, ele recebe o mesmo tratamento dos demais: acesso restrito à sua empresa e uso só para prestar o serviço.

• Prestar o serviço (criar a conta, guardar e ler contratos, mandar alertas, mostrar o painel, cobrar a assinatura): execução de contrato (art. 7º, V).
• Segurança e prevenção a fraude (limite de tentativas de login, registro de auditoria): legítimo interesse (art. 7º, IX) e cumprimento de obrigação legal onde houver.
• Obrigações fiscais e contábeis sobre a cobrança: cumprimento de obrigação legal (art. 7º, II).
• Diagnóstico de erros e medição de audiência, com dados sensíveis filtrados: legítimo interesse.
• Comunicação sobre o serviço (verificação, convite, alerta de prazo, aviso de mudança): execução de contrato.
• Novidades e conteúdo: só com o seu consentimento, que pode ser retirado em qualquer e-mail. Hoje não enviamos esse tipo de mensagem.

Não vendemos dados e não os usamos para publicidade.

Compartilhamos só com fornecedores que executam partes do serviço, cada um recebendo o mínimo necessário:

• Vercel: hospedagem da aplicação, com as funções rodando em São Paulo. A empresa é dos EUA.
• Neon: banco de dados PostgreSQL, região de São Paulo. A empresa é dos EUA.
• Cloudflare: DNS, e-mail de contato (contato@contrattos.com.br) e armazenamento privado dos PDFs (R2). EUA e outras regiões da rede da empresa.
• Anthropic (modelos Claude): leitura dos PDFs pela IA, EUA. Só entra em ação quando a empresa mantém a leitura por IA ligada; o PDF é enviado para extrair os campos e, conforme os termos comerciais do fornecedor, não é usado para treinar modelos.
• Resend: envio de e-mails transacionais (convite, verificação, alertas), EUA.
• Stripe: pagamentos. Recebe o nome da empresa, o e-mail de quem assina e os dados de cobrança. Os dados do cartão são digitados no Stripe e nunca passam pelos nossos servidores. EUA.
• Sentry: monitoramento de erros, EUA. Não identifica usuário e recebe os erros com os dados de contrato filtrados antes do envio.
• BrasilAPI: no cadastro da empresa, o CNPJ digitado é consultado na base pública da Receita Federal. Vai só o CNPJ.

A transferência internacional de dados para os fornecedores acima se dá com base no art. 33, II, da LGPD: cláusulas-padrão contratuais do próprio fornecedor. Compartilhamos também com autoridades quando a lei obrigar, e informamos você quando for permitido.

• Dados da conta e da empresa: enquanto a conta existir. Ao encerrar, excluímos em até 90 dias, salvo o que a lei mandar guardar.
• Dados de cobrança e comprovantes: até 5 anos após o fato, para obrigações fiscais e contábeis, quando aplicável.
• Contratos e PDFs: enquanto a empresa os mantiver no sistema. A empresa pode remover arquivos pelo sistema e, para excluir contratos ou todos os dados, pedir por e-mail. Depois do encerramento da empresa, excluímos em até 90 dias.
• Registros de auditoria: ficam guardados por até 5 anos, porque servem de prova do que foi feito no sistema.
• Cópias de segurança: rotacionadas pelo provedor do banco, em até 30 dias.

A exclusão de dados de uma empresa é feita por nós, mediante solicitação (encerramento da conta ou pedido por e-mail), e confirmada a você.

A LGPD (art. 18) garante a você, a qualquer momento: confirmação de que tratamos seus dados, acesso, correção, anonimização, bloqueio ou eliminação de dados desnecessários ou tratados fora da lei, portabilidade, eliminação dos dados tratados com consentimento, informação sobre com quem compartilhamos, informação sobre a possibilidade de não consentir e suas consequências, e revogação do consentimento.

Para exercer esses direitos, escreva ao encarregado em contato@contrattos.com.br. Respondemos em até 15 dias, prazo da LGPD (art. 19, II) para a resposta completa. Se o pedido for sobre dados cadastrados pela sua empresa, podemos encaminhá-lo a ela, que é a controladora.

Se achar que não resolvemos, você pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

Usamos só o que é necessário: o cookie de sessão, para você continuar logado. A preferência de tema (claro ou escuro) fica no armazenamento local do seu navegador, não em cookie.

Para medir audiência e velocidade do site usamos o Vercel Analytics e o Vercel Speed Insights, que, segundo o fornecedor, funcionam sem cookies e sem acompanhar você entre sites. Recebem a página visitada, o endereço de origem, o país, o navegador e o sistema. Não há cookies de publicidade.

Isolamento por empresa, permissões por papel, HTTPS, dados bancários cifrados, PDFs privados com link assinado, leitura por IA que você pode desligar e registro de auditoria. As medidas estão descritas em Segurança e dados, inclusive o que ainda não temos. Em caso de incidente que possa causar risco ou dano relevante a você, avisamos você e a ANPD nos prazos da lei.

Quando mudar, avisamos por e-mail e pela tela do sistema com 30 dias de antecedência, e mantemos a data da última atualização no topo.

Dúvidas: contato@contrattos.com.br. Veja também os termos de uso.