Política de Privacidade

Há dois tipos de pessoa nesta plataforma, e a diferença muda quem responde por quê.

O corretor é quem cria a conta e usa o produto. Sobre os dados da conta dele, nós somos controlador: decidimos o que coletar para manter o serviço e a cobrança de pé.

O cliente do corretor é a pessoa cujo documento o corretor envia para leitura. Sobre esses dados, quem decide o que coletar e para que é o corretor — ele é o controlador, e nós somos operador: tratamos por conta dele, no que ele pede, e não usamos esses dados para nenhuma finalidade própria.

Consequência prática: o cliente que quiser saber quais dados dele existem aqui, corrigir ou apagar, pede ao corretor com quem negocia. É o corretor que tem, na tela dele, os botões que apagam.

No cadastro: nome e e-mail, mais a senha, que é guardada pelo serviço de autenticação em forma de hash e nunca em texto.

Ao assinar um plano: CPF ou CNPJ, exigido pelo meio de pagamento para emitir a cobrança, e o identificador do corretor no gateway.

Opcionais, se o corretor preencher: CRECI e telefone. Também registramos o uso mensal de extração de documentos, para aplicar o limite do plano.

O corretor cadastra os clientes dele (nome, CPF, telefone, e-mail, estado civil e observações) e pode enviar a foto ou o PDF de um documento de identidade — RG ou CNH.

Desse documento, o sistema lê e guarda: nome completo, CPF, data de nascimento, nome da mãe, nome do pai, número do documento, órgão emissor e data de validade. Os campos ficam na coluna dados_extraidos da tabela documents, e o arquivo original fica armazenado.

Esses dados existem aqui porque o corretor os enviou. Cabe a ele ter base legal para isso perante o cliente dele, e informá-lo de que a leitura acontece.

Em um projeto Supabase, na região AWS sa-east-1 (São Paulo, Brasil): banco de dados PostgreSQL para as tabelas e um bucket de arquivos chamado documentos.

O bucket é privado. Não existe link público para nenhum arquivo: a visualização acontece por URL assinada com validade de 60 segundos, gerada só para quem é dono do arquivo.

Anthropic, para ler o documento de identidade. A chamada passa pelo roteador OpenRouter, com o provedor fixado na Anthropic e o desvio para outros provedores desligado — se a Anthropic estiver indisponível, a leitura falha em vez de ir para um provedor que não escolhemos. Sobe o arquivo do documento e volta o texto dos campos.

Asaas, para cobrança. Recebe nome, e-mail e CPF ou CNPJ do corretor, mais o valor e o ciclo do plano. Dados de cliente do corretor não vão para o Asaas.

Supabase, como provedor da infraestrutura descrita acima, incluindo o envio dos e-mails de autenticação.

Não usamos ferramentas de análise de audiência nem rastreadores de terceiros.

Só o próprio corretor alcança os clientes, os negócios e os documentos dele. Isso não é promessa de conduta: é regra de acesso no banco de dados (RLS), que confere o dono linha a linha em toda leitura e toda escrita.

O administrador da plataforma não lê dado de cliente. O painel administrativo mostra contagens e valores agregados por corretor — quantos clientes, quantos negócios, quanto de comissão — e não tem caminho de acesso às linhas de clients, deals, budgets, documents ou commission_entries. Essa ausência é imposta pelas mesmas regras do banco.

Todo toque em documento — envio, leitura pelo modelo, revisão, visualização e exclusão — fica registrado com data, hora e autor na tabela document_access_log. O registro guarda a ação, nunca o conteúdo do documento.

Esse registro sobrevive ao documento: quando o documento é apagado, a trilha dele continua existindo, com a data e o autor de cada ação, inclusive a da exclusão, e mantém o identificador interno do documento — o que permite demonstrar depois qual documento foi apagado e quando. Esse identificador é um código interno do sistema: o conteúdo do documento nunca esteve na trilha.

A exclusão só é registrada depois de o arquivo ter saído mesmo do armazenamento. Uma tentativa que falha não deixa registro de exclusão, porque nada foi excluído.

Os dados ficam enquanto a conta do corretor existir. Não há descarte automático por tempo: nada é apagado sozinho depois de um prazo.

O corretor pode, a qualquer momento, excluir um documento — o que remove o arquivo e a linha com os campos lidos — e excluir um cliente, o que remove o cadastro dele, as linhas dos documentos associados e também os arquivos originais no armazenamento.

Nos dois casos o arquivo é apagado antes da linha do banco. Se a remoção do arquivo falhar, a exclusão é interrompida e nada é apagado — assim o cadastro continua apontando para o arquivo e a operação pode ser repetida, em vez de deixar no armazenamento um arquivo que ninguém mais consegue localizar.

Para encerrar a conta e apagar tudo o que está ligado a ela, o corretor pede pelo contato abaixo.

Acesso a dado sempre autenticado e sempre filtrado por dono no banco. Bucket privado, com links de vida curta. As chaves dos provedores existem só no servidor e nunca são enviadas ao navegador.

O conteúdo de documento não entra em log de erro nem em mensagem de falha: quando a leitura quebra, o que se registra é que quebrou e onde, não o que estava escrito no documento.

A LGPD garante ao titular confirmação do tratamento, acesso, correção, anonimização, portabilidade, informação sobre compartilhamento e revogação de consentimento.

Se você é cliente de um corretor, o pedido vai para o corretor com quem você negocia: ele é o controlador dos seus dados e tem as ferramentas de exclusão. Como operador, atendemos ao que ele solicitar.

Se você é corretor, o pedido sobre os dados da sua conta vem direto para nós, pelo contato abaixo.

Encarregado pelo tratamento de dados pessoais (art. 41 da LGPD): [preencher: nome e e-mail do encarregado de dados]

Este campo está em branco de propósito enquanto o texto não passa por revisão jurídica — um contato inventado deixaria o titular escrevendo para um endereço que ninguém lê.

Ao criar conta, o corretor aceita também os Termos de Uso.