Política de Privacidade

1.Controlador e Encarregado pelo Tratamento

Controlador: PERJUS EDUCAÇÃO ESPECIALIZADA LTDA - ME, CNPJ 62.142.368/0001-41, com sede no endereço descrito no rodapé deste documento.

Encarregado pelo Tratamento de Dados Pessoais (DPO): contatável pelo e-mail [email protected], com assunto "LGPD — solicitação do titular".

2.Categorias de dados tratados

2.1. Dados do Usuário Contratante e Operadores

• Dados de identificação: nome completo, e-mail, telefone, CPF ou CNPJ, dados de endereço e de identificação profissional (qualificação, número de registro no conselho) quando informados;
• Dados de autenticação: hash da senha (jamais armazenada em texto claro), segredo do 2FA quando ativado, histórico de login, IP de acesso, identificador de dispositivo;
• Dados financeiros: CPF/CNPJ para emissão de cobrança, histórico de pagamentos, status de assinatura e de adicionais, sem armazenamento de número de cartão (operado pelo processador de pagamentos);
• Dados da integração Google (quando o Usuário conecta a conta): endereço da conta Google conectada e identificadores de eventos de agenda por ela criados. Os tokens de acesso (OAuth) do Usuário são custodiados pelo provedor da integração e não trafegam nem são armazenados pela Contratada;
• Dados de uso: Análises realizadas, etapas executadas, datas, identificadores de transação, tickets de suporte, logs operacionais.

2.2. Dados de Terceiros contidos nos contratos e documentos submetidos

Os contratos e comprovantes submetidos à Plataforma contêm dados pessoais de terceiros (consumidor que contratou o financiamento, eventuais avalistas e demais partes). O Usuário Contratante declara, sob sua responsabilidade exclusiva, possuir base legal válida para submeter esses dados — seja consentimento expresso do titular, mandato com poderes específicos, autorização legal de exercício profissional, ou outra hipótese do art. 7º ou art. 11 da LGPD.

Especificamente em relação a dados de avalistas, condutores secundários, garantidores solidários, contatos de emergência ou outras partes acessórias mencionadas nos contratos, a Plataforma aplica regra de minimização: tais dados não são utilizados, citados, analisados nem exibidos nas saídas do caso. São tratados apenas em memória durante o processamento e descartados.

3.Bases legais

O tratamento dos dados ocorre, conforme a finalidade, sob as seguintes bases legais do art. 7º da LGPD:

• Execução de contrato (inciso V): para fornecer as funcionalidades contratadas;
• Cumprimento de obrigação legal ou regulatória (inciso II): para emissão de notas fiscais, atendimento à autoridade competente, retenção de comprovantes contábeis pelo prazo legal;
• Legítimo interesse (inciso IX): para segurança da Plataforma, prevenção a fraude, análise de uso agregada e melhoria contínua, sempre observados os direitos fundamentais do titular;
• Consentimento (inciso I): quando aplicável, em especial na conexão opcional com serviços Google, autorizada pelo próprio Usuário via OAuth, e na comunicação de marketing, sempre revogável.

Para dados de Terceiros submetidos pelo Usuário Contratante (cláusula 2.2), o Usuário Contratante é o controlador originário da relação com o titular e responde pela base legal aplicável; a Contratada atua como operadora nessa cadeia, executando o tratamento conforme instruções do Usuário Contratante.

4.Finalidades do tratamento

• Cadastro e autenticação do Usuário Contratante e seus Operadores;
• Execução das etapas contratadas: extração de dados dos contratos, cálculo pericial determinístico, redação de minuta de parecer/laudo, geração de proposta de honorários e documentos de apoio;
• Personalização de documentos com a identidade do escritório, quando contratado o adicional correspondente;
• Envio de documentos ao cliente do Usuário e criação de lembretes de prazo em agenda, quando o Usuário habilita e utiliza a integração Google;
• Faturamento, cobrança e cumprimento de obrigações fiscais;
• Comunicação operacional (confirmação de pagamento, alertas de processamento, notificações de cancelamento) e suporte via tickets;
• Segurança da informação, prevenção a fraude e investigação de violação dos Termos;
• Cumprimento de obrigação legal de retenção (Receita Federal, Marco Civil da Internet, normas do CDC).

5.Compartilhamento com terceiros (operadores)

Para viabilizar o serviço, a Contratada compartilha dados estritamente necessários com operadores terceirizados, todos vinculados por contrato com cláusulas de proteção de dados em padrão equivalente ao da LGPD:

• Provedor de modelos de inteligência artificial (em produção, exclusivamente Anthropic, modelo Claude, mediante contrato com regime de não-treinamento e retenção zero/reduzida): conteúdo do contrato e documentos submetidos, para a etapa de leitura e extração. Os dados não são usados para treinamento de modelos;
• Processador de pagamentos (Asaas): CPF/CNPJ, nome, e-mail e valor para gerar cobranças e processar pagamentos, inclusive do adicional Identidade do Escritório;
• Provedor de e-mail transacional (Resend): e-mail e nome do destinatário para envio de comunicação operacional da própria Plataforma;
• Provedor da integração Google (Composio) e Google: somente quando o Usuário conecta sua conta. Nesse caso, o envio de documentos ao cliente parte da própria conta Gmail do Usuário, e os lembretes de prazo são criados na Agenda Google do Usuário. O provedor intermediário custodia e renova os tokens OAuth do Usuário; o e-mail do destinatário e os anexos do caso transitam por esse fluxo. A Contratada não acessa a caixa de entrada do Usuário;
• Provedor de infraestrutura de nuvem e armazenamento de objetos: hospedagem de servidores, banco de dados e arquivos, mantidos sob controle da Contratada;
• Provedor de NFS-e (Spedy), quando aplicável: dados necessários à emissão de nota fiscal de serviço.

A Contratada não comercializa, aluga, cede ou troca dados pessoais. O compartilhamento com autoridades públicas só ocorre mediante ordem judicial, requisição formal de autoridade competente ou cumprimento de obrigação legal.

6.Transferência internacional

Parte dos operadores indicados acima possui infraestrutura ou processamento fora do Brasil (notadamente nos Estados Unidos, no caso do provedor de modelos de IA e do provedor da integração com serviços Google). Tais transferências observam o disposto nos arts. 33 a 36 da LGPD e na Resolução CD/ANPD nº 19/2024. Quando o país de destino não conta com decisão de adequação reconhecida pela ANPD — como é o caso dos Estados Unidos —, a transferência é amparada pelas cláusulas-padrão contratuais (SCC) da ANPD ou por cláusulas contratuais específicas com garantias equivalentes, firmadas com cada operador.

7.Retenção e descarte

Em observância ao princípio da minimização (LGPD art. 6º, III), a Contratada aplica os seguintes prazos:

• PDF original do contrato e documentos submetidos, e arquivos derivados das Análises (painel PDF, planilha, demonstrativo, memória de cálculo, parecer/laudo): mantidos por até o prazo de retenção de artefatos vigente (atualmente 10 dias corridos) contados da conclusão da etapa, para o Usuário consultar e baixar no painel. Encerrado o prazo, são apagados automaticamente pela rotina periódica de expurgo (LGPD). Enquanto o arquivo de entrada permanecer disponível, a saída pode ser reemitida sem novo débito;
• Metadados permanentes de auditoria (hash criptográfico, tamanho em bytes e número de páginas do arquivo de entrada): preservados para prova de trabalho e integridade, jamais o conteúdo bruto;
• Metadados estruturados da Análise (resultado de viabilidade, dados extraídos, valores recalculados, fundamentos técnicos identificados): mantidos enquanto vigente a relação contratual + 5 (cinco) anos pós-encerramento da Conta. Não contêm o PDF original e são consultáveis pelo Usuário Contratante a qualquer tempo no painel;
• Dados cadastrais e de autenticação: mantidos enquanto vigente a relação contratual e por até 5 (cinco) anos após o encerramento, para fins de defesa em eventual contencioso e cumprimento de obrigação contábil/fiscal;
• Registros de aceite (Termos de Uso e Termo de Responsabilidade Técnica: versão, data/hora e IP): mantidos como prova do aceite pelo mesmo prazo de defesa em contencioso;
• Anexos de conversas internas do escritório e de chamados de suporte (arquivos enviados no chat da equipe e em tickets): mantidos por até 90 (noventa) dias corridos do envio e então apagados pela rotina periódica de expurgo; o texto das mensagens permanece sem o arquivo;
• Conversas com o assistente da plataforma: mantidas por até 90 (noventa) dias corridos da última interação e então apagadas pela rotina periódica de expurgo;
• Logs de acesso (IP, data/hora): 6 (seis) meses, em cumprimento ao Marco Civil da Internet (Lei nº 12.965/2014, art. 15);
• Comprovantes fiscais e financeiros: 5 (cinco) anos, em observância à legislação tributária;
• Dados anonimizados: podem ser mantidos indefinidamente para fins estatísticos, métricas agregadas e aperfeiçoamento da Plataforma, sem possibilidade de reversão à identificação do titular.

8.Direitos do titular

Nos termos do art. 18 da LGPD, o titular dos dados pode, a qualquer tempo, requerer:

• Confirmação da existência de tratamento;
• Acesso aos dados;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
• Portabilidade dos dados a outro fornecedor de serviço equivalente;
• Eliminação dos dados pessoais tratados com base em consentimento, ressalvadas as hipóteses do art. 16 da LGPD;
• Informação sobre as entidades públicas e privadas com as quais a Contratada compartilhou os dados;
• Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;
• Revogação do consentimento, inclusive a desconexão da integração Google, a qualquer momento, pela própria Plataforma.

Solicitações devem ser encaminhadas ao Encarregado pelo e-mail indicado na cláusula 1. A Contratada poderá solicitar comprovação de identidade do solicitante. O atendimento ao titular é gratuito e ocorre em até 15 (quinze) dias contados do recebimento, prorrogável uma única vez, mediante justificativa.

Quando o titular dos dados for um Terceiro mencionado em contrato submetido pelo Usuário Contratante, o titular pode dirigir a solicitação tanto à Contratada quanto ao Usuário Contratante. A Contratada cooperará com o Usuário Contratante para que a solicitação seja atendida tempestivamente.

9.Segurança

A Contratada adota medidas técnicas e organizacionais razoáveis para proteger os dados pessoais contra acessos não autorizados, perdas acidentais, alteração ou divulgação indevida. Entre essas medidas estão:

• Tráfego HTTPS com TLS atualizado (HSTS habilitado);
• Hash criptográfico de senhas (bcrypt com fator de custo ≥ 12);
• Autenticação em duas etapas (2FA/TOTP) disponível ao Usuário;
• Tokens de autenticação assinados com expiração;
• Cabeçalhos de segurança HTTP (CSP, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy);
• Isolamento multi-tenant: cada Conta acessa apenas seus próprios dados, com validação tanto no nível da API quanto do banco de dados;
• Rate limiting em endpoints sensíveis (login, signup, reset de senha, API programática);
• Backups periódicos automatizados do banco de dados;
• Auditoria de acesso e de operações relevantes, com monitoramento operacional e alertas automáticos.

Nenhuma medida de segurança é, contudo, absolutamente impenetrável. Em caso de incidente que envolva dados pessoais e possa acarretar risco ou dano relevante aos titulares, a Contratada comunicará a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados, conforme o art. 48 da LGPD e a Resolução CD/ANPD nº 15/2024, no prazo por esta fixado, em regra, 3 (três) dias úteis a contar da ciência de que o incidente afetou dados pessoais, estendido a 6 (seis) dias úteis por se tratar de agente de pequeno porte. A Contratada mantém registro dos incidentes de segurança por, no mínimo, 5 (cinco) anos.

10.Cookies e dados de navegação

A Plataforma utiliza armazenamento local (cookies, localStorage e similares) estritamente necessários ao funcionamento (sessão autenticada, preferências de UI, cache do service worker). Não utiliza cookies de marketing, retargeting ou rastreamento de comportamento entre sites de terceiros.

11.Tratamento por modelos de inteligência artificial

Conforme cláusula 5, a etapa de leitura envolve envio de conteúdo do contrato ao provedor de modelos de IA contratado. As medidas adotadas pela Contratada incluem:

• Uso, em produção, exclusivamente do provedor contratado (Anthropic), com garantia contratual de não-uso dos dados para treinamento e regime de retenção zero/reduzida, travado por configuração de ambiente;
• Restrição da IA à leitura: o cálculo é determinístico e a redação passa por revisão humana, conforme a página "Como funciona nosso cálculo";
• Defesa contra injeção de prompt: instruções contidas no documento submetido são tratadas estritamente como dado, nunca como comando;
• Auditoria periódica das saídas, com correção de eventuais vieses identificados.

12.Sigilo bancário

A Contratada e seus operadores observam o sigilo bancário previsto na Lei Complementar nº 105/2001. Informações financeiras contidas nos contratos submetidos pelo Usuário Contratante são tratadas exclusivamente para a finalidade da Análise contratada, sem divulgação a terceiros estranhos à cadeia operacional descrita na cláusula 5.

13.Integração com Instagram, Facebook e WhatsApp (Meta)

A conexão de contas profissionais do Instagram e de Páginas do Facebook é funcionalidade opcional. Enquanto o Usuário Contratante não conectar uma conta, nenhum dado desta cláusula é tratado. A partir da conexão, autorizada pelo próprio Usuário na tela oficial da Meta (OAuth), a Contratada passa a receber, por meio das APIs oficiais da Meta Platforms:

• Identificador e nome de usuário da conta do Instagram ou da Página do Facebook conectada;
• Token de acesso revogável, armazenado de forma cifrada em repouso. A senha do Instagram ou do Facebook jamais é coletada;
• Mensagens diretas enviadas e recebidas pela conta conectada, e comentários e interações em publicações, Reels, Stories e transmissões ao vivo, recebidos pelos webhooks oficiais da Meta, para exibição e resposta no painel e execução das automações configuradas pelo Usuário;
• Identificador, nome de usuário e foto de perfil das pessoas que interagem com a conta, para identificação do contato na conversa;
• Dados informados voluntariamente na conversa pelo contato (por exemplo, e-mail e telefone), quando o Usuário configura captura de contatos;
• Métricas agregadas de alcance e interação fornecidas pela API, para relatórios.

Quanto aos dados das pessoas que interagem com as contas conectadas, o Usuário Contratante é o controlador e a Contratada atua como operadora, nos mesmos moldes da cláusula 3. Cabe ao Usuário garantir base legal válida para a captura de contatos, informar a finalidade da coleta e atender aos pedidos dos titulares, inclusive de descadastramento. Esses dados não são vendidos, não são utilizados para publicidade e não são utilizados para treinamento de modelos de inteligência artificial, aplicando-se as cláusulas 5 e 11.

Retenção e exclusão: os dados desta cláusula são mantidos enquanto a conta permanecer conectada. O token de acesso é eliminado na desconexão pela Plataforma ou na revogação junto à Meta. A exclusão de tudo o que estiver vinculado a uma conta conectada pode ser solicitada a qualquer tempo pela página Exclusão de dados, ou pela remoção do aplicativo nas configurações do Facebook ou do Instagram, e é concluída em até 30 (trinta) dias, preservando-se apenas o registro mínimo da própria solicitação (protocolo, data e status), como comprovação do atendimento. A infraestrutura da Meta processa dados fora do Brasil, aplicando-se a cláusula 6.

WhatsApp Business (API oficial da Meta)

A conexão de um número de WhatsApp Business pela API oficial da Meta (WhatsApp Cloud API) também é funcionalidade opcional. O número é conectado pelo próprio Usuário na tela oficial da Meta (cadastro incorporado, com o Login do Facebook para Empresas). A senha do Facebook jamais é coletada.

A partir da conexão, a plataforma recebe e trata:

a) da conta do escritório: os identificadores da conta do WhatsApp Business e do número, o número de telefone, o nome de exibição e o seu status, a qualidade do número, os limites de envio, os modelos de mensagem criados e o token de acesso, guardado de forma criptografada;

b) dos contatos que conversam com o escritório: o número de telefone, o nome de perfil no WhatsApp, o conteúdo das mensagens (textos, imagens, áudios e documentos), a data e a hora, e os status de envio, entrega e leitura informados pela Meta.

Esses dados são usados para mostrar e responder as conversas na caixa de entrada do escritório, enviar modelos de mensagem aprovados pela Meta e permitir que o escritório gerencie o seu número e os seus modelos. O Usuário Contratante é o controlador e a Contratada atua como operadora. Cabe ao Usuário Contratante enviar mensagens somente a quem o procurou ou autorizou o contato, conforme as políticas do WhatsApp Business. Esses dados não são vendidos, não são utilizados para publicidade e não são utilizados para treinamento de modelos.

As mensagens passam pela infraestrutura da Meta, que processa dados fora do Brasil, aplicando-se a cláusula 6. Os arquivos de mídia (imagens, áudios e documentos) são apagados em até 10 dias; as mensagens e os demais dados ficam guardados enquanto o escritório usar o serviço. O Usuário pode desconectar o número a qualquer tempo em Canais e conexão, e a exclusão de tudo o que estiver vinculado ao número pode ser solicitada a qualquer tempo pela página Exclusão de dados, com conclusão em até 30 dias.

14.Crianças e adolescentes

A Plataforma não é destinada a menores de 18 anos e não coleta intencionalmente dados de crianças ou adolescentes como titulares da relação de uso. Caso seja detectado tratamento involuntário de dado de menor, a Contratada procederá à exclusão imediata, salvo nas hipóteses do art. 14 da LGPD. Observa-se, ainda, no que aplicável, o Estatuto Digital da Criança e do Adolescente (ECA Digital).

15.Atualização desta Política

Esta Política pode ser atualizada para refletir mudanças regulatórias, novas funcionalidades ou novos operadores. Alterações relevantes serão comunicadas com 15 (quinze) dias de antecedência, por e-mail e aviso na Plataforma. O texto sempre exibirá a versão vigente e a data de eficácia.

16.Reclamações à ANPD

O titular que entenda haver descumprimento das obrigações da Contratada relativas à proteção de dados pessoais poderá, sem prejuízo dos direitos previstos na cláusula 8, apresentar reclamação à Autoridade Nacional de Proteção de Dados — ANPD, por meio dos canais oficiais disponíveis em gov.br/anpd.