Política de Privacidade

Esta Política explica como a plataforma ImpactOS, operada por [NOME DA EMPRESA] (CNPJ [CNPJ], sede em [CIDADE/UF]) (“ImpactOS”, “nós”), trata dados pessoais no âmbito do Serviço, em conformidade com a Lei Geral de Proteção de Dados (LGPD, Lei nº 13.709/2018).

1. Dois papéis distintos

• Dados da sua conta (você, sua organização e os usuários que você cadastrar): atuamos como controlador, pois definimos como e para quais finalidades esses dados são tratados para prestar o Serviço.
• Dados dos seus leads e contatos (que você insere na Plataforma no exercício da sua atividade comercial): atuamos como operador, tratando-os exclusivamente em seu nome e sob suas instruções. Você é o controlador desses dados e o único responsável por possuir base legal válida para a coleta e o tratamento, inclusive perante os titulares desses dados.

2. Dados que coletamos

• Cadastro: nome, e-mail e senha (armazenada apenas como hash criptográfico irreversível — scrypt —, nunca em texto puro).
• Uso e segurança: registros de acesso, endereço IP, identificadores de sessão e eventos técnicos, para autenticação, prevenção a fraudes e funcionamento do Serviço.
• Pagamento: processado por gateway terceirizado (Mercado Pago); recebemos apenas confirmações, status e identificadores da transação — nunca os dados completos do cartão ou meio de pagamento.
• Conteúdo inserido pelo Cliente: dados de leads, contatos, negócios, propostas e anotações que você cadastra, na qualidade de operador (ver Seção 1).
• Comunicações: quando você entra em contato conosco, o conteúdo dessa comunicação, para fins de suporte e atendimento.

3. Finalidades e bases legais (art. 7º e 11 da LGPD)

• prestar, manter e melhorar o Serviço — execução de contrato;
• autenticação, segurança e prevenção a fraudes — legítimo interesse, exercido de forma proporcional e com salvaguardas técnicas;
• cobrança, faturamento e cumprimento de obrigações fiscais e contábeis — cumprimento de obrigação legal/regulatória e execução de contrato;
• comunicações essenciais ao Serviço (ex.: redefinição de senha, avisos de cobrança, alterações contratuais) — execução de contrato;
• funcionalidades de inteligência artificial, quando habilitadas — execução de contrato, limitado aos dados estritamente necessários para gerar a resposta solicitada pelo Cliente.

4. Compartilhamento com terceiros (sub-operadores)

Compartilhamos dados pessoais apenas com sub-operadores estritamente necessários à operação do Serviço, sob obrigação contratual de confidencialidade e segurança, atualmente:

• Hostinger — provedor de infraestrutura e hospedagem (servidor e banco de dados);
• Mercado Pago — processamento de pagamentos e cobrança recorrente;
• Resend — envio de e-mails transacionais (ex.: redefinição de senha, avisos da conta);
• Provedor de inteligência artificial (ex.: Anthropic), apenas quando as funcionalidades de IA estiverem habilitadas para a conta, e apenas os dados necessários à geração da resposta solicitada.

Não vendemos, alugamos ou comercializamos dados pessoais. Podemos divulgar dados quando exigido por lei, ordem judicial ou requisição de autoridade competente.

5. Transferência internacional de dados

Alguns dos sub-operadores listados na Seção 4 podem processar dados em servidores localizados fora do Brasil. Nesses casos, exigimos que o sub-operador ofereça garantias adequadas de proteção compatíveis com a LGPD (ex.: cláusulas contratuais padrão, certificações de segurança ou adesão a leis de proteção de dados equivalentes), nos termos dos arts. 33 a 36 da LGPD.

6. Cookies

Utilizamos apenas o cookie essencial de sessão (autenticação), estritamente necessário para manter você conectado à Plataforma. Não utilizamos cookies de publicidade, rastreamento entre sites ou analytics de terceiros nas áreas autenticadas do Serviço.

7. Segurança da informação

Adotamos medidas técnicas e organizacionais para proteger os dados pessoais, incluindo: senhas armazenadas com hash criptográfico (scrypt) e nunca em texto puro; tokens de sessão armazenados como hash (SHA-256); limitação de tentativas de acesso (rate limiting) contra ataques de força bruta; cabeçalhos de segurança HTTP e conexão criptografada (HTTPS/TLS); isolamento lógico de dados por organização (arquitetura multi-inquilino); e cópias de segurança (backup) diárias do banco de dados. Nenhum sistema é absolutamente imune a incidentes, mas trabalhamos continuamente para reduzir riscos.

8. Notificação de incidentes de segurança

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares de dados pessoais, comunicaremos a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados em prazo razoável, nos termos do art. 48 da LGPD, informando a natureza dos dados afetados, as medidas técnicas adotadas e as recomendações para mitigação de riscos.

9. Direitos do titular de dados

Nos termos do art. 18 da LGPD, o titular de dados pessoais pode solicitar, a qualquer momento: confirmação da existência de tratamento; acesso aos dados; correção de dados incompletos, inexatos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a lei; portabilidade a outro fornecedor de serviço; eliminação dos dados tratados com base no consentimento; informação sobre entidades com que compartilhamos dados; informação sobre a possibilidade de não fornecer consentimento e suas consequências; e revogação do consentimento, quando essa for a base legal aplicável.

Para dados de leads e contatos tratados por nós na qualidade de operador (Seção 1), encaminharemos a solicitação diretamente ao Cliente controlador responsável por aquele dado, a quem cabe atendê- la. Para dados da sua própria conta, atenda-nos pelo canal abaixo. O titular também tem o direito de peticionar diretamente à ANPD.

Solicitações e contato do Encarregado de Dados (DPO): [E-MAIL DO ENCARREGADO].

10. Retenção e eliminação de dados

Mantemos os dados pessoais pelo tempo necessário ao cumprimento das finalidades descritas nesta Política, enquanto a conta estiver ativa, ou conforme prazos legais e regulatórios aplicáveis (ex.: obrigações fiscais e contábeis, que podem exigir guarda por até 5 anos). Após o encerramento da conta e decorridos os prazos legais de guarda, os dados são eliminados ou anonimizados de forma segura.

11. Encarregado pelo Tratamento de Dados (DPO)

Nos termos do art. 41 da LGPD, o Encarregado pelo Tratamento de Dados Pessoais é: [NOME DO ENCARREGADO] — [E-MAIL DO ENCARREGADO].

12. Alterações desta Política

Podemos atualizar esta Política para refletir mudanças no Serviço, em nossos sub-operadores ou na legislação aplicável. Alterações relevantes serão comunicadas pelos canais do Serviço com antecedência mínima de 15 dias antes de entrarem em vigor.