Política de Privacidade

1. Identificação do Controlador e do Operador

Operador da Plataforma: <EMPRESA RESPONSÁVEL>, CNPJ <CNPJ DA EMPRESA> ("Fornecedor"), opera a plataforma HAP OS na qualidade de operador de dados, conforme a Lei Geral de Proteção de Dados (LGPD — Lei 13.709/2018).

Controlador dos Dados: O Tenant contratante é o controlador dos dados pessoais inseridos por ele e por seus usuários na plataforma. Cabe ao Tenant definir as finalidades e os meios do tratamento de dados no âmbito de seu uso da plataforma.

2. Dados Pessoais Tratados

Dependendo da configuração e do uso da plataforma pelo Tenant, os seguintes dados podem ser tratados:

Dados de conta e acesso:

• Nome completo, e-mail e senha (armazenada com hash bcrypt) de administradores e usuários;
• Registro de último acesso e status de conta (ativo/inativo);
• Papel e permissões de cada usuário dentro do tenant.

Dados operacionais inseridos pelo Tenant:

• Registros em tabelas e formulários (conteúdo definido pelo Tenant);
• Arquivos, imagens e anexos enviados pelo Tenant;
• Respostas de formulários públicos e internos;
• Configurações de dashboards, apps, documentos, relatórios e automações.

Dados técnicos e de auditoria:

• Logs de operações (criação, edição, exclusão de registros);
• Histórico de conversas com o assistente de inteligência artificial;
• Logs de execução de automações, webhooks e integrações;
• Registros de uso para fins de rate limiting e faturamento;
• Dados de sessão e autenticação.

Dados de configuração técnica:

• Credenciais de integrações externas (armazenadas com criptografia);
• Configurações de provedores de IA e chaves de API (criptografadas).

3. Finalidades e Bases Jurídicas (LGPD)

Finalidade	Base jurídica (LGPD art. 7º)
Autenticar usuários e controlar acessos	Execução de contrato (inciso V)
Operar tabelas, dashboards, formulários, automações e demais recursos	Execução de contrato (inciso V)
Registrar histórico, auditoria e rastreabilidade	Legítimo interesse do Fornecedor e obrigação legal (incisos VI e IX)
Integrar sistemas externos configurados pelo Tenant	Execução de contrato / legítimo interesse (incisos V e VI)
Prestar suporte técnico e manutenção	Execução de contrato (inciso V)
Melhoria contínua da plataforma	Legítimo interesse do Fornecedor (inciso VI)
Cumprimento de obrigações legais e regulatórias	Obrigação legal (inciso II)

4. Papel do Tenant como Controlador

O Tenant é integralmente responsável por:

• Garantir base jurídica adequada para tratar dados pessoais inseridos na plataforma;
• Informar os titulares dos dados sobre o tratamento realizado;
• Atender solicitações de titulares relacionadas aos seus dados (acesso, correção, exclusão, portabilidade);
• Assegurar que o uso da plataforma esteja em conformidade com a LGPD e demais legislações aplicáveis ao seu negócio.

O Fornecedor atua como operador e tratará os dados apenas conforme as instruções do Tenant e as obrigações legais aplicáveis.

5. Compartilhamento de Dados

Os dados do Tenant e de seus usuários são compartilhados apenas quando necessário para:

• Infraestrutura: provedores de hospedagem, armazenamento de objetos (compatível com S3/MinIO) e banco de dados;
• Integrações configuradas pelo Tenant: APIs externas, bancos de dados, provedores de IA (OpenAI, Anthropic, Google) escolhidos pelo Tenant;
• Faturamento: processador de pagamentos contratado pelo Fornecedor, para processamento de assinaturas e pagamentos;
• Obrigações legais: autoridades competentes, mediante ordem judicial ou regulatória válida.

O Fornecedor não vende, aluga ou compartilha dados do Tenant para fins comerciais próprios.

6. Transferências Internacionais

Quando o Tenant configura integrações com provedores de IA ou outros serviços baseados no exterior (ex.: OpenAI — EUA, Anthropic — EUA, Google — EUA), dados podem ser transmitidos internacionalmente. O Tenant é responsável por avaliar e garantir que essas transferências atendam à LGPD e às suas obrigações contratuais.

O Fornecedor pode utilizar infraestrutura de nuvem com servidores localizados no Brasil ou exterior, adotando salvaguardas adequadas conforme previsto na LGPD.

7. Segurança e Controles Técnicos

O Fornecedor adota medidas técnicas e organizacionais razoáveis para proteger os dados, incluindo:

• Segregação completa de dados por tenant (isolamento multi-tenant);
• Senhas armazenadas com hash bcrypt;
• Credenciais de integrações externas armazenadas com criptografia;
• Hashing configurável de colunas sensíveis (SHA256, SHA512, PBKDF2, Scrypt);
• Controles de autenticação e autorização por papel (RBAC);
• Trilhas de auditoria para operações críticas;
• Proteções contra SSRF em automações e integrações;
• Verificação HMAC para autenticação de webhooks de entrada.

8. Retenção e Exclusão

• Os dados são mantidos pelo período necessário para cumprir as finalidades descritas nesta Política, obrigações legais, auditoria e continuidade do serviço.
• Após o encerramento da conta do Tenant, os dados podem ser retidos por prazo mínimo exigido por lei e, após esse período, serão excluídos ou anonimizados.
• O Tenant pode solicitar a exclusão de dados específicos utilizando os recursos disponíveis na plataforma ou através do canal de contato oficial.

9. Direitos dos Titulares (LGPD art. 18)

Os titulares de dados pessoais têm direito a:

• Confirmação e acesso — saber se seus dados são tratados e acessá-los;
• Correção — solicitar correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação — de dados desnecessários ou tratados em desconformidade;
• Portabilidade — receber seus dados em formato estruturado;
• Eliminação — dos dados tratados com base no consentimento;
• Informação — sobre compartilhamentos e possibilidade de negar consentimento;
• Revogação do consentimento — quando o tratamento for baseado nessa base jurídica.

Como o Tenant é o controlador, solicitações de titulares relacionadas a dados inseridos pelo Tenant devem ser encaminhadas primariamente ao Tenant. O Fornecedor auxiliará o Tenant no atendimento dessas solicitações utilizando os recursos disponíveis na plataforma.

10. Cookies e Logs Técnicos

A plataforma utiliza cookies de sessão e armazenamento local (localStorage) exclusivamente para fins operacionais: manter autenticação, preferências de interface e estado de navegação. Não são utilizados cookies de rastreamento ou publicidade de terceiros.

Logs técnicos de acesso e uso são armazenados para fins de segurança, diagnóstico e auditoria.

11. Atualizações desta Política

Esta Política pode ser atualizada para refletir evoluções do produto, ajustes operacionais, requisitos legais ou melhorias de segurança. Quando houver nova versão relevante, um novo aceite do administrador do Tenant será exigido antes da continuidade do uso. A versão vigente está sempre disponível em /privacidade.

12. Contato e Encarregado (DPO)

Para exercer seus direitos, esclarecer dúvidas ou registrar solicitações relacionadas à privacidade e ao tratamento de dados, entre em contato:

<EMPRESA RESPONSÁVEL> CNPJ: <CNPJ DA EMPRESA> E-mail: <E-MAIL DE CONTATO>