Aviso de privacidade
Este aviso explica quais dados pessoais o Portal de Documentos trata, para quê, por quanto tempo e como você exerce os seus direitos, conforme a Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018).
1. Quem é o responsável
O portal é operado por [preencher: razão social (COMPANY_LEGAL_NAME)], CNPJ [preencher: CNPJ (COMPANY_CNPJ)], [preencher: endereço (COMPANY_ADDRESS)] (“MCLvale”), que decide como os dados descritos aqui são tratados. Para assuntos de privacidade, fale com o encarregado pelo e-mail [preencher: e-mail do encarregado (PRIVACY_CONTACT_EMAIL)].
2. Quais dados tratamos e por quê
[confirmar: as bases legais da última coluna são sugestões do desenvolvedor e precisam ser revisadas]
| Dado | Para que usamos | Base legal (sugestão) |
|---|---|---|
| Nome, e-mail e empresa | Cadastrar e identificar quem acessa; enviar convites e avisos. | Execução de contrato (art. 7º, V) |
| Senha | Autenticar você. É guardada apenas como um código irreversível (Argon2id): ninguém da MCLvale consegue ver a sua senha. | Execução de contrato; segurança |
| Data, hora, endereço IP e navegador de cada ação (entrada, envio, visualização, download, resposta) | Segurança, investigação de acessos indevidos e comprovação de quem recebeu ou acessou cada documento. | Legítimo interesse (art. 7º, IX); obrigação legal quanto aos registros de acesso |
| Resposta às guias de remessa: quem respondeu, data, hora, IP e a impressão digital (SHA-256) do arquivo | Comprovar o aceite eletrônico dos documentos. | Execução de contrato; exercício regular de direitos (art. 7º, VI) |
| E-mail digitado em tentativas de login recusadas | Detectar tentativas de invasão. Só é guardado se tiver formato de e-mail. | Legítimo interesse (segurança) |
| Cookie de sessão | Manter você conectado. É indispensável ao funcionamento. Não usamos cookies de publicidade, de análise ou de rastreamento, nem scripts de terceiros. | Execução de contrato |
| E-mails enviados pelo portal | Convites, redefinição de senha e avisos de guias de remessa. Ficam guardados na fila do sistema. | Execução de contrato |
3. Com quem compartilhamos
Não vendemos dados pessoais nem os usamos para publicidade. Usamos prestadores que hospedam o sistema, guardam os arquivos e enviam e-mails; eles tratam os dados apenas para nos prestar o serviço [confirmar: listar os prestadores reais, por exemplo Amazon Web Services (hospedagem e armazenamento, região São Paulo), Neon (banco de dados) e o provedor de e-mail].
A sua empresa e os colegas dela que têm acesso ao mesmo pedido veem os documentos e as guias do pedido, inclusive o nome de quem respondeu cada guia.
[confirmar: transferência internacional: verificar se algum prestador trata dados fora do Brasil e qual a base legal (LGPD, arts. 33 a 36)]
4. Por quanto tempo guardamos
- Cadastro (nome, e-mail, empresa): enquanto a conta existir. Contas desativadas mantêm o histórico de ações [confirmar: prazo para eliminar cadastros inativos].
- IP e navegador de cada ação: 365 dias. Depois disso eles são apagados, e o registro da ação (quem, quando, o quê) permanece.
- E-mail digitado em login recusado (conta inexistente): o mesmo prazo, 365 dias.
- Aceites de guias de remessa (inclusive o IP): sem prazo para eliminação, porque servem de prova do aceite [confirmar: prazo de guarda das provas de aceite].
- Sessão de acesso: dura no máximo 12 horas e termina após 120 minutos sem uso, ou quando você sai.
5. Seus direitos
Você pode pedir: confirmação de que tratamos seus dados; acesso a eles; correção de dados incompletos ou errados; anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desacordo com a lei; portabilidade; informação sobre com quem compartilhamos; e, quando o tratamento depender de consentimento, a revogação dele.
Para exercer esses direitos, escreva para [preencher: e-mail do encarregado (PRIVACY_CONTACT_EMAIL)]. Respondemos em [confirmar: prazo de resposta]. Alguns registros (trilha de auditoria e aceites) precisam ser mantidos para comprovar entregas e aceites e para a defesa em processos; quando for o caso, explicamos o motivo. Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).
6. Como protegemos
- Conexão por HTTPS e senhas guardadas com Argon2id.
- Cada pessoa acessa só os pedidos liberados para ela; a verificação é feita no servidor em toda página e em todo download.
- Bloqueio temporário da conta após tentativas de senha erradas e lista de sessões abertas em Minha conta, onde você pode encerrá-las.
- Cada arquivo recebe uma impressão digital (SHA-256) na emissão, e os acessos ficam registrados.
7. Mudanças neste aviso
Se este aviso mudar, publicaremos a nova versão nesta página, com a data de atualização no topo.
Pendências para o jurídico (somem com LEGAL_TEXTS_APPROVED=true)
- Controladora e encarregado: razão social, CNPJ, endereço e e-mail do encarregado (variáveis COMPANY_LEGAL_NAME, COMPANY_CNPJ, COMPANY_ADDRESS, PRIVACY_CONTACT_EMAIL).
- Bases legais: a coluna do quadro da seção 2 é sugestão técnica, não revisada.
- Prestadores e transferência internacional: confirmar quem hospeda o banco, os arquivos e o e-mail e se algum trata dados fora do Brasil.
- Prazos: IP e navegador estão em 365 dias por escolha técnica (variável AUDIT_PII_RETENTION_DAYS; o Marco Civil, art. 15, prevê guarda mínima de 6 meses dos registros de acesso para quem se enquadra). Definir também cadastro inativo e provas de aceite.
- Atendimento a titulares: o portal não tem função para excluir ou anonimizar uma pessoa; hoje isso seria feito pela equipe técnica direto no banco. Definir o procedimento.
- Relação com o cliente: o portal cadastra funcionários dos clientes; verificar se o contrato com o cliente define os papéis (controlador/operador) e as cláusulas de dados pessoais.