Política de Privacidade

1. Quem somos

Harpia Lab, Curitiba/PR, CNPJ [PENDENTE: CNPJ]. Contato de privacidade: [PENDENTE: e-mail de privacidade].

Somos a controladora dos dados dos sites, das contas do Control e dos dados de uso descritos aqui. Os dados que um escritório cadastra no Control sobre os próprios clientes são do escritório: nesse caso ele é o controlador e nós tratamos esses dados em nome dele (operadora), só para prestar o serviço.

2. A quem se aplica

• Visitantes dos sites.
• Usuários do Control: quem cria uma conta e a equipe convidada.
• Clientes dos escritórios que abrem um orçamento pelo link ou entram no portal.

3. Quais dados tratamos e por quê

3.1 Conta e uso do serviço (usuários do Control)

Nome, e-mail, organização, papel na equipe e, se você ativar, o segundo fator de login. Também o que você cadastra: clientes, orçamentos, arquivos e pagamentos. Usamos para prestar o serviço contratado (LGPD, art. 7º, V) e mandar os e-mails do próprio serviço (convites, avisos de orçamento e de parcela).

3.2 Dados dos clientes dos escritórios

Nome, e-mail e o que o escritório registra sobre o orçamento e os pagamentos, além da decisão do cliente (aceite ou recusa) e dos itens escolhidos. Tratamos como operadora, seguindo as instruções do escritório, que define a base legal e responde ao cliente sobre esses dados.

3.3 Registros técnicos de acesso

Endereço IP, data e hora, navegador e a ação feita, para segurança e para investigar abuso (legítimo interesse, art. 7º, IX). Guardados por até 30 dias.

3.4 Formulário de contato (harpialab.com)

Nome, e-mail e a mensagem que você escreve, para responder o contato e conversar sobre um possível projeto (art. 7º, V, procedimentos preliminares a um contrato). Ficam na nossa caixa de e-mail enquanto a conversa for útil.

3.5 Dados de uso (Google Analytics)

Para entender como os sites e o Control são usados e melhorar o produto, registramos:

• páginas vistas e ações (por exemplo, "orçamento criado" ou "link copiado");
• tipo de dispositivo, navegador, idioma e localização aproximada (cidade e país);
• de onde a visita veio (site de origem e campanha);
• um identificador aleatório guardado em cookie no seu navegador;
• no Control, com você logado: o identificador interno da sua conta e da organização, seu papel na equipe, o plano e a área de atuação da organização.

Não registramos nome, e-mail, telefone, documentos, nomes de clientes, conteúdo ou valores de orçamentos, nem o que você digita.

Base legal:

• Sites, portal do cliente e link do orçamento: consentimento (art. 7º, I). Nada é coletado antes de você clicar em "Aceitar" no aviso de cookies. Você muda a escolha quando quiser em "Preferências de cookies", no rodapé dos sites, ou em Segurança → Privacidade, no portal.
• Control, com você logado (e cadastro, login e configuração inicial): legítimo interesse em melhorar o produto que você usa (art. 7º, IX). Você desliga em Segurança → Privacidade ("Enviar dados de uso neste navegador"). Se recusou os cookies em um dos nossos sites, essa escolha também vale no Control.

Os dados de uso não são usados para publicidade: os recursos de anúncios e de dados demográficos do Google estão desligados.

4. Cookies e armazenamento no navegador

5. Com quem compartilhamos

Não vendemos dados. Usamos fornecedores que tratam dados em nosso nome:

• Google Cloud e Firebase: hospedagem do Control, banco de dados, arquivos e login. Os dados do Control ficam em São Paulo; o serviço de login pode processar dados fora do Brasil.
• Google Analytics: dados de uso (seção 3.5).
• Resend: envio dos e-mails do serviço.
• Vercel: hospedagem do site harpialab.com.

Também podemos compartilhar dados quando a lei ou uma autoridade exigir.

6. Transferência internacional

Alguns desses fornecedores processam dados fora do Brasil, principalmente nos Estados Unidos (Google Analytics, login, Resend, Vercel). Essas transferências seguem o art. 33 da LGPD, com as cláusulas contratuais de proteção de dados que os fornecedores oferecem.

7. Por quanto tempo guardamos

• Conta e dados do serviço: enquanto a conta existir. Depois de um pedido de exclusão, as cópias de backup que ainda tenham esses dados expiram em até 7 dias.
• Registros técnicos de acesso: até 30 dias.
• Dados de uso: 14 meses no Google Analytics; uma cópia para análise (Google Cloud, região de São Paulo) por até 24 meses.

8. Seus direitos

Pela LGPD (art. 18), você pode pedir: confirmação de que tratamos seus dados, acesso, correção, anonimização ou eliminação do que for desnecessário, portabilidade, informação sobre com quem compartilhamos, revogação do consentimento e oposição a um tratamento feito por legítimo interesse.

Para pedir, escreva para [PENDENTE: e-mail de privacidade] do e-mail da sua conta. Confirmamos que o pedido é seu antes de agir e respondemos em até 15 dias. Se você é cliente de um escritório que usa o Control, fale primeiro com o escritório; nós o ajudamos a atender o pedido.

Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

9. Encarregado

Como agente de tratamento de pequeno porte, a Harpia Lab está dispensada de indicar um encarregado (Resolução CD/ANPD nº 2/2022, art. 11). O canal para qualquer assunto de privacidade é o e-mail da seção 1.

10. Segurança

Usamos criptografia em trânsito e em repouso, acesso por permissão, verificação em duas etapas e backups diários. Nenhum sistema é infalível; se acontecer um incidente que possa causar risco ou dano relevante, avisamos você e a ANPD.

11. Mudanças nesta política

Quando a política mudar, atualizamos a data no topo e avisamos nos sites ou no Control se a mudança for relevante.