Política de Privacidade

Esta Política de Privacidade descreve como a plataforma Concilia, operada por Tomas Soares da Silva LTDA (CNPJ 68.350.171/0001-84, sede em R. Luiz Lopes da Silva, 22 — Jaraguá — São Paulo/SP — CEP 05.180-360), trata dados pessoais, em conformidade com a Lei nº 13.709/2018 (LGPD).

1. Papéis no tratamento de dados

A Concilia atua em dois papéis distintos, conforme o dado tratado:

• Como Controladora — dos dados das contas de acesso (Usuários da Plataforma): decidimos as finalidades e os meios desse tratamento.
• Como Operadora — dos dados de consumidores/terceiros que trafegam nas operações (ex.: nome, CPF e endereço em devoluções e pedidos): tratamos esses dados em nome do Cliente (seller/operador logístico), que é o Controlador e define a finalidade e a base legal. A Concilia os processa apenas para executar o serviço contratado e conforme instruções do Cliente.

2. Dados que tratamos

2.1. Dados de conta (Concilia como Controladora)

• Nome, e-mail e credenciais de acesso do Usuário;
• Perfil de acesso, empresa vinculada e registros de uso (logs, aceites de termos, IP e user-agent no aceite).

2.2. Dados operacionais (Concilia como Operadora, em nome do Cliente)

• Dados de pedidos, devoluções, notas fiscais e destinatários provenientes do Cliente e de sua integração com o ERP;
• Podem incluir dados pessoais de consumidores finais, como nome, CPF e endereço;
• Imagens enviadas na operação (por exemplo, fotos de produtos e de etiquetas de transporte), que podem ser processadas por inteligência artificial para leitura, transcrição ou análise automática de seu conteúdo (ver itens 4 e 5).

3. Finalidades e bases legais

4. Compartilhamento e subprocessadores

Para operar a Plataforma, utilizamos prestadores que tratam dados sob nossas instruções, com as devidas salvaguardas contratuais:

• Supabase — banco de dados e armazenamento de arquivos (hospedagem no Brasil);
• EasyPanel — hospedagem da aplicação (no Brasil);
• Aton / Ambar — integração com o ERP (pedidos, notas fiscais, estoque);
• OpenAI — processamento de imagens por inteligência artificial (leitura e transcrição de etiquetas e análise de fotos). Trata dados nos Estados Unidos(ver item 5);
• GitHub — execução da rotina automática de cópia de segurança (backup) do banco de dados, no exterior (ver item 5);
• Cloudflare (R2) — armazenamento das cópias de segurança (backup) do banco, de forma cifrada, no exterior (ver item 5);
• cron-job.org — agendamento de rotinas automáticas de sincronização (dispara as rotinas, sem receber dados pessoais).

Não vendemos dados pessoais. O compartilhamento ocorre apenas para viabilizar o serviço ou por exigência legal.

5. Armazenamento e transferência internacional

Os dados são armazenados em infraestrutura hospedada no Brasil (região São Paulo). O banco de dados, os arquivos e a hospedagem da aplicação permanecem em território nacional.

Transferência internacional: quando o Cliente utiliza os recursos de inteligência artificial (leitura/transcrição de etiquetas e análise de fotos), as imagens correspondentes são enviadas para processamento pela OpenAI, nos Estados Unidos. Essa transferência ocorre exclusivamente para executar essa funcionalidade, com base na execução do contrato e mediante salvaguardas contratuais junto ao fornecedor (art. 33 da LGPD). Adotamos a minimização, enviando apenas a imagem necessária ao processamento. Caso o Cliente não deseje utilizar esses recursos, eles podem ser desabilitados, hipótese em que não há transferência internacional de dados por esse motivo.

Cópias de segurança (backup): para garantir a recuperação em caso de desastre, realizamos cópias de segurança do banco de dados por meio de rotina executada na GitHub e armazenada na Cloudflare (R2), ambas em servidores no exterior. As cópias são armazenadas de forma cifrada(AES-256), e a chave de decifração não é compartilhada com o provedor de armazenamento. A transferência tem por base a execução do contrato e a adoção de medidas de segurança (art. 33 da LGPD).

6. Segurança

Adotamos medidas técnicas e organizacionais para proteger os dados, entre elas:

• criptografia de segredos em repouso (AES-256-GCM);
• isolamento de dados por empresa com políticas de acesso no banco (RLS);
• credenciais de integração armazenadas em área de acesso restrito ao servidor;
• controles de acesso por perfil e autorização por PIN em operações sensíveis.

7. Retenção e eliminação

Os dados são mantidos pelo tempo necessário às finalidades descritas e ao cumprimento de obrigações legais (por exemplo, prazos fiscais). Encerrada a relação e cumpridos os prazos legais, os dados são eliminados ou anonimizados. Como Operadora, seguimos as instruções do Cliente quanto à eliminação dos dados sob sua responsabilidade.

8. Direitos do titular

Nos termos da LGPD, o titular pode solicitar confirmação de tratamento, acesso, correção, anonimização, portabilidade, eliminação e informações sobre compartilhamento. Quando a Concilia atua como Operadora, encaminhamos a solicitação ao Cliente Controlador ou o apoiamos no atendimento. Solicitações podem ser feitas pelo canal do Encarregado (item 11).

9. Cookies

A Plataforma utiliza apenas cookies estritamente necessários ao funcionamento (autenticação e sessão). Não empregamos cookies de publicidade ou de rastreamento de terceiros.

10. Alterações desta Política

Esta Política pode ser atualizada. Alterações relevantes são comunicadas na Plataforma e um novo aceite pode ser exigido. A data de atualização consta no topo do documento.

11. Encarregado (DPO) e contato

Para exercer direitos ou esclarecer dúvidas sobre o tratamento de dados, entre em contato com o Encarregado pelo e-mail concilia.estoques@gmail.com.