1. Introdução e âmbito

1.1. Esta Política descreve como a ExpertBrazil (ExpertBrazil, CNPJ 38.867.807/0001-02), com sede na Rua Demétrio Ribeiro, 241, Térreo, Centro, Cruz Alta/RS, CEP 98.025-120, trata dados pessoais no âmbito do GestãoExpert e demais serviços.

1.2. Aplica-se a clientes, usuários autorizados, visitantes do site e titulares cujos dados estejam hospedados em nossos sistemas por conta de clientes.

1.3. Papéis: quando hospedamos dados que o cliente insere, o cliente é CONTROLADOR e a ExpertBrazil é OPERADORA (art. 5º, VI e VII, LGPD), conforme o contrato de tratamento de dados (DPA). Quando tratamos dados de nossos próprios clientes para cobrança, contratos, suporte e comunicação, a ExpertBrazil atua como CONTROLADORA.

2. Dados que tratamos

2.1 Fornecidos pelo titular: identificação (nome/razão social, CPF/CNPJ, RG, inscrição estadual); contato (e-mail, telefone, WhatsApp, endereços); profissionais (cargo, empresa); financeiros (dados bancários, chave PIX, faturamento, histórico de transações); contratuais (contratos, propostas, ordens de serviço, termos aceitos).

2.2 Coletados automaticamente: navegação (IP, navegador, páginas, data/hora, origem); cookies (§8); logs de acesso e sistema (mínimo 6 meses — art. 15, Lei 12.965/2014).

2.3 Por conta de clientes (operadora): dados cadastrais, financeiros, contratuais e operacionais dos titulares de cada cliente, conforme instruções do controlador e do DPA.

2.4 Dados sensíveis: não solicitamos dados sensíveis (art. 5º, II) para finalidades próprias. Se um cliente armazenar dados sensíveis, o tratamento é de responsabilidade do cliente controlador, que deve ter base legal do art. 11 e informar-nos por escrito.

2.5 Crianças e adolescentes (art. 14): não coletamos intencionalmente dados de menores em finalidades próprias. Quando o sistema hospedar dados de menores por conta de um cliente, o tratamento é do controlador, que deve obter consentimento específico de pelo menos um dos pais ou responsável legal, com registro.

3. Finalidades e bases legais

Nota: o consentimento não é a base geral dos serviços contratados — para a prestação do serviço, a base é a execução do contrato (art. 7º, V). O consentimento é usado para finalidades facultativas (ex.: marketing) e é revogável a qualquer tempo.

4. Compartilhamento e subprocessadores

4.1. Podemos compartilhar dados com: provedor de hospedagem/infraestrutura [A DEFINIR] (hospedagem da aplicação e banco); Evolution API (WhatsApp) (nome, telefone e conteúdo da mensagem para notificações e cobranças); Banco Inter (nome, CPF/CNPJ, endereço e valor para emissão de boletos e pagamentos); BrasilAPI / MinhaReceita / ReceitaWS (número do CNPJ para validação); ViaCEP (apenas o CEP); Google Analytics (dados de navegação, IP anonimizado quando configurado); provedor de e-mail/SMTP [A DEFINIR] (destinatário, conteúdo e metadados).

4.2. Todos os subprocessadores são obrigados contratualmente a tratar os dados conforme a LGPD e nossas instruções, com DPA quando aplicável (art. 39). A relação atualizada é mantida pela ExpertBrazil e disponibilizada ao titular mediante solicitação.

4.3. Não vendemos nem alugamos dados pessoais.

5. Transferência internacional (arts. 33 a 36)

5.1. Alguns subprocessadores podem processar dados fora do Brasil. Quando isso ocorrer, adotaremos mecanismo jurídico válido (arts. 33-36 da LGPD e Res. CD/ANPD nº 19/2024), como cláusulas contratuais padrão, e informaremos os clientes controladores.

5.2. Quando um cliente controlador autorizar tratamento fora do Brasil, ele é responsável por garantir o mecanismo adequado.

5.3. Não presumimos adequação de países; transferências só ocorrem com mecanismo válido ou nas hipóteses legais.

6. Direitos do titular (arts. 9º, 18 e 19)

6.1. Direitos: I confirmação; II acesso; III correção; IV anonimização/bloqueio/eliminação de dados desnecessários; V portabilidade; VI eliminação de dados tratados com consentimento; VII informação sobre compartilhamento; VIII informação sobre a possibilidade de não consentir e suas consequências; IX revogação do consentimento; além de oposição (art. 18, §2º) e revisão de decisões automatizadas (art. 18, §3º).

6.2. O exercício é gratuito. Prazo de resposta: imediato quando possível ou até 15 (quinze) dias corridos (art. 19, II), prorrogável uma única vez com justificativa.

6.3. Canais para exercício dos direitos: formulário /lgpd/solicitar ou e-mail do encarregado (DPO) abaixo. O titular pode reclamar à ANPD (gov.br/anpd).

7. Retenção e eliminação (arts. 15 e 16)

7.1. Ao término do prazo, os dados são eliminados ou anonimizados de forma segura, ressalvadas as hipóteses de conservação do art. 16. (Retenção de referência geral: 180 dias, quando aplicável.)

8. Cookies

8.1. Utilizamos cookies essenciais (funcionamento) e cookies analíticos (Google Analytics), com IP anonimizado quando configurado.

8.2. O titular pode gerenciar cookies no navegador; a desativação de cookies essenciais pode comprometer funcionalidades.

8.3. [Recomendado] Banner de consentimento para cookies não essenciais.

9. Uso de inteligência artificial

9.1. Podemos utilizar assistentes virtuais e recursos de IA para atendimento, automação e suporte (ex.: assistente "Sophia").

9.2. Regras: (i) conversas podem ser registradas para auditoria e melhoria, com retenção definida; (ii) dados de produção dos clientes não são utilizados para treinar modelos de terceiros; (iii) quando houver processamento por provedor de IA em nuvem, buscamos provedores com garantias contratuais de proteção de dados e, sempre que possível, residência no Brasil; (iv) o titular é informado, no primeiro uso, de que interage com IA.

9.3. Decisões automatizadas: quando houver, o titular pode solicitar revisão (art. 20).

10. Segurança da informação (arts. 46 a 51)

Criptografia em trânsito (SSL/TLS); armazenamento em servidores seguros com acesso restrito; controle de acesso por perfil (mínimo necessário); auditoria e registro de acessos; backups periódicos; políticas internas de segurança; sigilo dos colaboradores.

11. Encarregado de Proteção de Dados (DPO) — art. 41

O titular pode exercer seus direitos pelo formulário /lgpd/solicitar ou pelo e-mail do encarregado, e pode reclamar à ANPD (gov.br/anpd).

12. Incidentes de segurança (art. 48)

12.1. Em caso de incidente que possa acarretar risco ou dano relevante, comunicaremos os clientes controladores sem atraso injustificado (referência: 48 horas do conhecimento) e adotaremos medidas de contenção e mitigação.

12.2. A comunicação à ANPD e aos titulares cabe ao controlador (cliente), com nosso apoio quando atuarmos como operadora.

12.3. Mantemos registro dos incidentes e das medidas adotadas.

13. Consentimento e registro

13.1. Quando o consentimento for a base legal, será livre, informado, inequívoco e para finalidade determinada (art. 8º) e revogável a qualquer tempo (art. 8º, §5º).

13.2. Registramos o aceite com data/hora, IP e identificação do documento/versão aceita (art. 8º, §1º), para fins de prova.

13.3. A revogação pode impactar finalidades facultativas, sem afetar o serviço contratado.

14. Disposições gerais, legislação e foro

14.1. Esta Política pode ser atualizada; a versão vigente e a data ficam publicadas. Alterações relevantes serão comunicadas. Versões anteriores são arquivadas.

14.2. Legislação aplicável: brasileira, em especial a LGPD e, quando cabível, o CDC.

14.3. Foro: comarca de Sorriso/MT, ressalvado o foro do consumidor quando aplicável (art. 101, I, CDC).

14.4. O titular pode recorrer à ANPD caso entenda que seus direitos não foram respeitados.