Rascunho para validação interna. Trechos destacados como [A DEFINIR] ou [A VALIDAR] precisam ser revisados antes da publicação.
1. Quem somos e a quem esta política se aplica
A Ánapse é uma plataforma de process mining oferecida pela [A DEFINIR: razão social da D2Solutions], inscrita no CNPJ sob o nº [A DEFINIR: CNPJ], com sede em [A DEFINIR: endereço completo] (“Ánapse”, “nós”).
Esta Política explica como tratamos dados pessoais de quem visita o site, cria uma conta ou usa a plataforma, conforme a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 — “LGPD”) e o Marco Civil da Internet (Lei nº 12.965/2014). Ela complementa os Termos de Uso.
A Ánapse atua em dois papéis diferentes, conforme o tipo de dado:
- Controladora dos dados da sua conta e do uso da plataforma (seções 2 e 3), porque somos nós que decidimos como e para que esses dados são tratados.
- Operadora dos dados pessoais que estiverem dentro dos logs de eventos que você envia (seção 4). Nesse caso, quem decide é você (ou a empresa que você representa), e nós tratamos esses dados só para gerar as análises que você solicita.
2. Quais dados coletamos
| Categoria | Dados | Como obtemos |
|---|---|---|
| Cadastro | Nome, sobrenome, nome de usuário, e-mail e senha (guardada apenas em formato cifrado irreversível — não temos acesso à senha em si). | Informados por você ao criar a conta ou em Minha conta. |
| Projetos | Nome e descrição do projeto, plano escolhido, colunas mapeadas (caso, atividade, data/hora, executor), filtros aplicados e data de envio. | Gerados quando você cria e usa um projeto. |
| Logs de eventos | Conteúdo do arquivo enviado (CSV ou XES), que pode incluir dados pessoais de terceiros — por exemplo, nomes ou identificadores de quem executou cada atividade. | Enviados por você. Ver seção 4. |
| Pagamentos | Plano contratado, valor, status e identificadores da transação. Não recebemos nem guardamos dados de cartão ou de conta bancária: eles são informados diretamente no ambiente do Mercado Pago. | Informados pelo Mercado Pago após o pagamento. |
| Uso da plataforma | Botões clicados, página em que você estava, data e hora, identificador da sessão, página de origem (de onde você veio) e, quando aplicável, o projeto e o plano relacionados. | Registrados automaticamente durante a navegação, inclusive sem login. |
| Dados técnicos | Endereço IP, data e hora de acesso, navegador e idioma preferido. | Enviados automaticamente pelo seu navegador. [A VALIDAR: confirmar quais registros de acesso o servidor/hospedagem guarda] |
3. Para que usamos os dados e com qual base legal
| Finalidade | Base legal (LGPD, art. 7º) |
|---|---|
| Criar e manter sua conta, autenticar seu acesso e permitir alterar seus dados. | Execução de contrato (inciso V). |
| Processar os logs enviados e gerar o mapa do processo, estatísticas e exportações. | Execução de contrato (inciso V). |
| Controlar planos, limites de uso e pagamentos. | Execução de contrato (inciso V). |
| Guardar registros de pagamento exigidos pela legislação fiscal. | Cumprimento de obrigação legal (inciso II). |
| Guardar registros de acesso à aplicação (IP, data e hora) por 6 meses. | Cumprimento de obrigação legal — Marco Civil da Internet, art. 15 (inciso II). |
| Entender como a plataforma é usada (cliques e páginas) para corrigir problemas e melhorar o produto. | Legítimo interesse (inciso IX). [A VALIDAR: avaliação de legítimo interesse e forma de oposição] |
| Prevenir fraude e acesso indevido, e proteger a segurança da plataforma. | Legítimo interesse (inciso IX). |
| Defender nossos direitos em processos judiciais, administrativos ou arbitrais. | Exercício regular de direitos (inciso VI). |
Não usamos seus dados para publicidade, não vendemos dados e não tomamos decisões automatizadas que produzam efeitos jurídicos sobre você.
4. Dados pessoais dentro dos logs que você envia
Logs de eventos costumam ter colunas como identificador do caso, atividade, data/hora e executor. Se o arquivo tiver dados pessoais (por exemplo, nomes de funcionários ou de clientes), você é o controlador desses dados e é responsável por ter base legal para enviá-los à Ánapse.
Como operadora, nós:
- tratamos esses dados apenas para gerar as análises que você solicita na plataforma;
- não usamos o conteúdo dos logs para outras finalidades nem os compartilhamos com terceiros, exceto prestadores de infraestrutura necessários ao serviço (seção 5) [A VALIDAR: confirmar que os logs não são usados para treinar ou melhorar algoritmos];
- guardamos o arquivo criptografado e só o exibimos ao dono do projeto (seção 9);
- excluímos os dados quando você apaga o projeto ou a conta (seção 8). [A VALIDAR: hoje o diagrama gerado e os arquivos temporários da importação não são apagados junto com o projeto — ajustar o sistema antes de publicar]
Recomendamos anonimizar ou pseudonimizar colunas com dados pessoais antes do envio sempre que elas não forem necessárias para a análise — por exemplo, trocando nomes de executores por códigos.
5. Com quem compartilhamos
Não vendemos nem alugamos dados pessoais. Compartilhamos dados apenas com:
- Mercado Pago (pagamentos): recebe o plano, o valor e um número de referência do pedido; os dados de pagamento você informa diretamente a ele, que segue a própria política de privacidade.
- Provedor de hospedagem: [A DEFINIR: nome do provedor e país onde os servidores ficam], onde a plataforma e o banco de dados funcionam.
- Serviços que entregam recursos das páginas: fontes (Google Fonts), ícones e bibliotecas (cdnjs/Cloudflare, jQuery e Plotly). Ao carregar uma página, seu navegador se conecta a esses serviços, que recebem dados técnicos como endereço IP e navegador. Eles não recebem dados da sua conta nem dos seus logs. [A VALIDAR: manter esses serviços externos ou hospedar esses arquivos nos nossos próprios servidores]
- Autoridades: quando houver obrigação legal ou ordem judicial.
6. Transferência internacional
Alguns dos serviços citados na seção 5 podem processar dados fora do Brasil. Nesses casos, a transferência segue o art. 33 da LGPD e as regras da ANPD. [A VALIDAR: mecanismo usado (ex.: cláusulas-padrão contratuais) e países envolvidos, após definir a hospedagem]
8. Por quanto tempo guardamos os dados
| Dado | Prazo |
|---|---|
| Dados da conta | Enquanto a conta existir. Após o pedido de exclusão, em até [A DEFINIR: prazo]. |
| Projetos, logs enviados e diagramas gerados | Até você excluir o projeto ou a conta. |
| Arquivos temporários da importação | [A DEFINIR: prazo de limpeza automática] |
| Registros de pagamento | [A VALIDAR: prazo fiscal aplicável, ex.: 5 anos] |
| Registros de acesso (IP, data e hora) | 6 meses (Marco Civil da Internet, art. 15). |
| Registros de uso (cliques) | [A DEFINIR: prazo]. Se a conta for excluída, os registros deixam de ser ligados a você. |
Você pode excluir um projeto a qualquer momento na lista de projetos. Para excluir a conta, escreva para o contato da seção 11. [A VALIDAR: oferecer a exclusão da conta direto em Minha conta]
9. Como protegemos os dados
- Conexão protegida por HTTPS.
- Senhas guardadas apenas em formato cifrado irreversível (hash), com exigência de senha forte.
- Logs de eventos guardados criptografados, com uma chave por arquivo protegida por uma chave mestra mantida fora do banco de dados.
- Cada projeto, diagrama e exportação só é acessível ao usuário dono — essas regras são verificadas por testes automatizados.
- Acesso interno restrito às pessoas que precisam dele para operar o serviço. [A VALIDAR: política interna de acesso e backups]
Nenhum sistema é totalmente imune a incidentes. Se ocorrer um incidente de segurança que possa causar risco ou dano relevante, avisaremos você e a ANPD, conforme o art. 48 da LGPD.
10. Seus direitos
Conforme o art. 18 da LGPD, você pode pedir, a qualquer momento:
- confirmação de que tratamos seus dados e acesso a eles;
- correção de dados incompletos, inexatos ou desatualizados — nome, sobrenome e e-mail podem ser alterados em Minha conta;
- anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a LGPD;
- portabilidade dos dados a outro fornecedor;
- eliminação dos dados tratados com base no consentimento, quando for o caso;
- informação sobre com quem compartilhamos seus dados;
- revisão de decisões tomadas unicamente com base em tratamento automatizado;
- oposição a tratamentos baseados em legítimo interesse.
Para exercer esses direitos, escreva para o contato da seção 11. Responderemos em até 15 dias. Se o pedido for sobre dados de terceiros contidos em um log que você enviou, encaminharemos ao controlador desses dados (você ou a empresa responsável). Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).
11. Encarregado (DPO) e contato
Encarregado pelo tratamento de dados pessoais: [A DEFINIR: nome]
E-mail: [A DEFINIR: e-mail de privacidade, ex.: privacidade@...]
12. Menores de idade
A Ánapse é um serviço para uso profissional e não se destina a menores de 18 anos.
13. Alterações desta política
Podemos atualizar esta Política para refletir mudanças no serviço ou na legislação. A data da última atualização fica no topo da página e, se a mudança for relevante, avisaremos por e-mail ou na própria plataforma antes de ela entrar em vigor.