Politica de Privacidade

Politica de Privacidade do ARPI-IMOB

Este documento e um rascunho operacional, pendente de revisao juridica. Ele explica como o ARPI-IMOB trata dados pessoais na operacao atual da plataforma.

Controlador e operador

Rafael Silva Marinheiro de Souza, pessoa natural inscrita no CPF sob o numero 086.568.954-78, com endereco profissional em Rua Maestro Luis, nº 207, Bairro Radir Pereira, Currais Novos/RN, CEP 59380-000, e responsavel pela plataforma ARPI-IMOB. Para dados do assinante, como cadastro, login, identificacao profissional, contato e cobranca, o Prestador atua como controlador. Para dados que o assinante insere sobre proprietarios, clientes, leads, interessados, partes de contrato e outros terceiros, o Prestador atua como operador em nome do assinante. As obrigacoes de cada parte nesse segundo caso estao no Acordo de Tratamento de Dados Pessoais.

Dados coletados

• Dados do assinante e usuarios: nome, e-mail, telefone, senha em formato protegido por hash, CPF quando informado, CRECI, organizacao, perfil de permissao, IP, user-agent e registros de aceite.
• Dados de cobranca: CPF ou CNPJ do pagador, plano, valores, status de pagamento, identificadores do provider e eventos necessarios para conciliacao.
• Dados inseridos pelo assinante: contatos, proprietarios, imoveis, oportunidades, visitas, propostas, contratos, documentos e metadados de arquivos.
• Dados tecnicos: registros de seguranca, diagnostico de erros e informacoes necessarias para manter sessao autenticada.
• Metricas operacionais agregadas: data de criacao da organizacao, tempo ate primeiro imovel, tempo ate primeiro contato, passos de ativacao concluidos, usuarios ativos, ativacao D1/D7, retencao D7 e contadores de funil.
• Registros de acesso a dado pessoal: identificador de quem acessou (usuario ou operador da plataforma), identificador do registro acessado, tipo de acesso, data e identificador de correlacao da requisicao - sem o conteudo do dado acessado. Existem para responder, em caso de incidente, quem acessou um registro especifico.

Metricas operacionais

Usamos metricas operacionais first-party para entender se uma organizacao conseguiu ativar a conta e usar os fluxos principais. Essas metricas sao derivadas de tabelas do proprio produto e logs de auditoria.

As metricas nao incluem nome, e-mail, telefone, endereco, conteudo de notas ou texto livre de contratos. Elas usam identificador de organizacao, datas e contadores. A base legal e legitimo interesse para operacao, suporte, melhoria do produto e acompanhamento do beta.

Finalidades e bases legais

Tratamos dados para criar e proteger contas, executar o contrato, operar funcionalidades do produto, processar pagamentos, atender suporte, cumprir obrigacoes legais, prevenir fraude, auditar a operacao, detectar e responder a incidentes de seguranca, medir ativacao operacional e responder a pedidos de titulares. As bases legais podem incluir execucao de contrato, cumprimento de obrigacao legal, exercicio regular de direitos, legitimo interesse e consentimento quando aplicavel.

Subprocessadores

A operacao gerenciada usa ou podera usar os seguintes subprocessadores: Vercel para hospedagem do frontend, Neon para banco Postgres, AWS para armazenamento e e-mail, Cloudflare somente para DNS, Zoho Mail para atendimento e Sentry para diagnostico de erro quando contratado. A lista detalhada esta em Subprocessadores.

Transferencia internacional

Alguns subprocessadores operam infraestrutura fora do Brasil ou sao controlados por empresas sediadas no exterior. O Zoho Mail ja trata comunicacoes do canal de atendimento em infraestrutura nos Estados Unidos; a Vercel esta configurada nos Estados Unidos, sem evidencia de dados reais de clientes nesse fluxo. Toda transferencia internacional deve observar mecanismo do art. 33 da LGPD e o Regulamento aprovado pela Resolucao CD/ANPD nº 19/2024. Antes de dados reais de clientes entrarem no produto, o fluxo e o mecanismo aplicavel devem estar documentados. A pagina de Subprocessadores indica quais operam fora do Brasil.

Retencao

• Payload bruto de webhook de cobranca: 180 dias apos processamento.
• Registros de acesso a dado pessoal: 180 dias apos o acesso.
• Janela de exclusao de conta: 7 dias entre pedido e expurgo operacional.
• Dados pessoais removiveis da conta: expurgados ou anonimizados no processo de exclusao, incluindo os registros de acesso a dado pessoal da organizacao.
• Registros comerciais, financeiros e de auditoria: preservados ou anonimizados quando necessarios para cumprimento de obrigacao legal, exercicio regular de direitos ou prevencao a fraude, conforme LGPD art. 16, I.
• Backups: retidos pelo ciclo operacional de backup e sobrescritos conforme a rotina vigente.

Direitos do titular

Titulares podem solicitar confirmacao de tratamento, acesso, correcao, anonimizacao, bloqueio, eliminacao, portabilidade, informacao sobre compartilhamento e revisao de decisoes automatizadas quando aplicavel. A resposta sera enviada em ate 15 dias corridos, salvo prazo legal diferente ou necessidade de validacao de identidade.

Como exercer direitos

Solicitacoes devem ser enviadas para suporte@arpi-imob.com.br. Quando o pedido envolver dados inseridos por um assinante sobre terceiros, poderemos direcionar a solicitacao ao assinante controlador, pois a ARPI-IMOB atua como operadora nesse contexto.

Cookies e diagnostico

Hoje usamos apenas cookies essenciais de sessao e Sentry para diagnostico de erro. Nao usamos analytics de terceiro nem cookies de marketing. A inclusao futura de analytics ou marketing exigira banner de consentimento e atualizacao desta politica.

Seguranca

Aplicamos controles proporcionais ao risco, incluindo autenticacao por token, segregacao por organizacao, controle de permissoes, MFA para operadores da plataforma, logs de auditoria, deteccao automatica de anomalia de acesso (padroes como tentativas repetidas fora do esperado), registro seletivo de quem acessou dado pessoal especifico, expurgo de payloads sensiveis e armazenamento por chave opaca. Nenhum sistema e imune a incidentes, mas incidentes relevantes serao tratados conforme a lei aplicavel.

Encarregado e canal de atendimento

A ARPI-IMOB se enquadra hoje como agente de tratamento de pequeno porte, nos termos da Resolucao CD/ANPD nº 2/2022, e por isso nao esta obrigada a nomear encarregado. Nao ha, portanto, encarregado formalmente designado nesta data - e este documento nao afirmara o contrario enquanto nao houver.

O que a norma exige nessa hipotese, e que a ARPI-IMOB mantem, e o canal de comunicacao com os titulares (art. 41, § 2º, I, da LGPD): suporte@arpi-imob.com.br. Por ele sao recebidos pedidos de exercicio de direitos, duvidas sobre este documento e comunicacoes da autoridade.

Caso um encarregado venha a ser designado, sua identidade e seu contato serao publicados aqui, como manda o art. 41, § 1º.

Alteracoes

Esta politica pode ser atualizada para refletir mudancas de produto, infraestrutura, subprocessadores ou exigencias legais. Versoes historicas permanecem acessiveis pela URL versionada.