Minuta para revisão jurídica. Não publicar sem revisar os campos marcados.

Política de Privacidade do Régua

Última atualização: [REVISAR: data]

Esta Política explica como a NextCode trata dados pessoais no Régua, conforme a Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018). Ela vale para quem cria uma conta e usa a Plataforma, e também para as pessoas cujos dados são cadastrados pelos nossos usuários. Os Termos de Uso completos estão em Termos de Uso.

1. Quem é responsável pelos dados

1.1. Controlador: NextCode, [REVISAR: razão social], CNPJ [REVISAR: CNPJ], com sede em [REVISAR: endereço].

1.2. Encarregado (DPO): responsável por receber pedidos dos titulares e falar com a Autoridade Nacional de Proteção de Dados (ANPD). Contato: [REVISAR: e-mail do encarregado (DPO)].

1.3. Quando a Empresa cliente cadastra dados de seus clientes e Sacados, ela atua como controladora desses dados. A NextCode atua como operadora, tratando essas informações em nome da Empresa cliente e conforme as instruções dela. Por isso, pedidos sobre dados de Sacados devem, em regra, ser dirigidos à própria Empresa cliente.

2. Dados que tratamos

2.1. Dados do usuário: nome, e-mail e telefone. A senha é guardada de forma protegida, nunca em texto aberto. Para a assinatura, podem ser tratados dados de identificação fiscal, como CPF ou CNPJ, que são enviados à Asaas.

2.2. Dados de clientes e Sacados cadastrados pela Empresa cliente: nome, documento (CPF ou CNPJ), telefone, e-mail, endereço quando informado, valores, vencimentos e histórico de títulos e cobranças.

2.3. Mensagens: as cobranças enviadas pelo WhatsApp e as respostas recebidas dos Sacados, incluindo o texto das conversas usado para atendimento e classificação.

2.4. Registros de acesso e segurança: data e hora, endereço IP, identificador do dispositivo e ações relevantes, como login, alteração de dados e envio de mensagens.

2.5. Dados de pagamento: não armazenamos o número completo de cartão de crédito. Os pagamentos são processados pela Asaas.

3. Bases legais

Tratamos dados pessoais somente quando há uma base legal prevista no art. 7º da LGPD:

• Execução de contrato (art. 7º, V): cadastro, prestação do serviço e cobrança da assinatura.
• Legítimo interesse (art. 7º, IX): envio de cobranças em favor da Empresa cliente, segurança, prevenção a fraudes e melhoria do serviço. Sempre avaliamos que esse uso respeita as expectativas razoáveis do titular e não prejudica seus direitos.
• Consentimento (art. 7º, I): comunicações de novidades e de divulgação, quando o titular as solicita. Ele pode revogar o consentimento a qualquer tempo.
• Obrigação legal ou regulatória (art. 7º, II): guarda de registros de acesso pelo prazo do Marco Civil da Internet (Lei 12.965/2014) e cumprimento de obrigações fiscais e contábeis.

4. Para que usamos os dados

• Criar e manter a conta, e autenticar os acessos.
• Prestar o serviço de gestão de contas a pagar e a receber.
• Enviar cobranças e notificações por WhatsApp em nome da Empresa cliente.
• Classificar as respostas recebidas, para encaminhar o atendimento a quem deve tratá-lo.
• Enviar alertas operacionais, como falhas no envio de mensagens.
• Cobrar a assinatura e prevenir fraudes.
• Atender pedidos dos titulares e cumprir obrigações legais.
• Melhorar a estabilidade e a segurança, usando dados agregados ou anonimizados.

Não vendemos dados pessoais e não os usamos para publicidade de terceiros.

5. Com quem compartilhamos

Compartilhamos dados apenas com os operadores abaixo, que atuam sob nossas instruções, com obrigações de confidencialidade e de segurança:

• Supabase: banco de dados e autenticação. Recebe os dados da conta, de clientes, de títulos e de mensagens.
• Cloudflare: hospedagem do site e do aplicativo. Recebe dados técnicos de acesso, como o endereço IP.
• Asaas: processamento de pagamentos (Pix, boleto e cartão). Recebe os dados necessários à cobrança da assinatura.
• Provedor de WhatsApp: executado em servidor (VPS) da própria NextCode. Recebe o número e o texto das mensagens enviadas e recebidas.
• Anthropic (opcional): classificação automática de respostas recebidas, quando essa função está habilitada. Recebe somente o texto da conversa, sem nome, documento ou outros dados cadastrais.

Podemos divulgar dados quando exigido por lei, por ordem de autoridade competente ou para defender direitos em processos.

6. Transferência internacional

Alguns dos nossos operadores mantêm servidores nos Estados Unidos. Nesses casos, a transferência é feita com base nas cláusulas padrão contratuais previstas na LGPD (art. 33), que exigem nível de proteção compatível com a lei brasileira.

7. Por quanto tempo guardamos os dados

• Enquanto a conta existir: os dados são mantidos para a prestação do serviço.
• Após a exclusão da conta: os dados são excluídos ou anonimizados, exceto quando a lei exigir a guarda por prazo maior. Em obrigações fiscais e contábeis, por exemplo, esse prazo costuma ser de cinco anos.
• Registros de acesso: pelo prazo previsto no Marco Civil da Internet.
• Cópias de segurança: mantidas por período limitado e depois substituídas, de acordo com o ciclo normal de backup.

8. Seus direitos

Como titular, você pode solicitar, a qualquer momento, nos termos do art. 18 da LGPD:

• confirmação de que tratamos seus dados e acesso a eles;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desacordo com a lei;
• portabilidade dos dados a outro fornecedor;
• eliminação dos dados tratados com base no seu consentimento;
• informação sobre com quem compartilhamos os dados;
• informação sobre a possibilidade de não fornecer consentimento e sobre as consequências disso;
• revogação do consentimento;
• oposição a tratamentos realizados com base em legítimo interesse, quando houver descumprimento da lei.

Como exercer: os dados da sua conta e a exportação em JSON ou CSV estão disponíveis no próprio painel. Para os demais pedidos, escreva para o encarregado em [REVISAR: e-mail do encarregado (DPO)]. Podemos pedir informações para confirmar sua identidade. Responderemos em prazo razoável, em regra de até 15 dias.

Dados de Sacados: se você é cliente de uma Empresa que usa o Régua, o pedido deve ser feito à própria empresa, que é a controladora desses dados. Quando recebermos o pedido, encaminharemos a ela.

9. Mensagens de cobrança e opt-out

Toda cobrança enviada pelo Régua informa que a pessoa pode deixar de receber mensagens automáticas respondendo PARAR.

Ao receber essa resposta, o número é marcado como opt-out para aquela Empresa cliente, e o Régua deixa de enviar cobranças automáticas para ele. A Empresa cliente é informada e deve tratar o pedido. Cobranças feitas por outros meios continuam sujeitas à relação entre o titular e a empresa.

Você também pode revogar o consentimento para comunicações ou pedir a oposição a tratamentos pelo canal indicado na seção 8.

10. Segurança

• Isolamento por conta: regras de acesso no próprio banco de dados (Row Level Security) garantem que cada Conta acesse somente os seus dados.
• Criptografia em trânsito: a comunicação entre o navegador, a Plataforma e os operadores usa HTTPS.
• Senhas protegidas: as senhas são armazenadas de forma irreversível, nunca em texto aberto.
• Controle de acesso: permissões por papel e por operador, com possibilidade de bloquear o acesso de quem não deve mais usar a Conta.
• Cópias de segurança: backups periódicos, para recuperação em caso de falha.
• Registros: ações relevantes ficam registradas, para auditoria e investigação.

Nenhum sistema é totalmente seguro. Em caso de incidente que possa causar risco ou dano relevante, comunicaremos a ANPD e os titulares afetados, conforme o art. 48 da LGPD.

11. Cookies e armazenamento local

O Régua não usa cookies de rastreamento, de publicidade ou de analytics de terceiros, e não contém rastreadores.

O navegador armazena apenas o necessário para o funcionamento: a sessão de login, mantida pelo serviço de autenticação, e preferências do próprio usuário, como tema ou filtros. Você pode apagar esses dados pelo navegador, mas, nesse caso, talvez precise entrar novamente.

12. Crianças e adolescentes

O Régua é destinado a pessoas maiores de 18 anos, que possam contratar serviços em seu nome ou em nome de uma empresa. Não tratamos intencionalmente dados de crianças. Se identificarmos dados de menores tratados sem a base legal adequada, eles serão excluídos.

13. Alterações desta Política

Esta Política pode ser atualizada para refletir mudanças no serviço ou na lei. A data da última atualização aparece no topo da página. Mudanças relevantes serão comunicadas por e-mail ou pela Plataforma, com antecedência razoável.

14. Contato e reclamações

Para dúvidas, pedidos ou reclamações sobre esta Política, escreva para [REVISAR: e-mail do encarregado (DPO)]. Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).