Política de Privacidade

1. Responsável e canais de contato

Esta Política descreve o tratamento de dados pessoais na Estoque Condomínios, também identificada como EstoqueCond no site estoquecond.com.br. A empresa responsável é Scaledata, CNPJ 11.797.036/0001-64, com endereço na Avenida Luiz Tarquinio Pontes, 2232, sala 105, Vilas do Atlantico, Lauro de Freitas/BA, CEP 42708-850. Contato geral: [email protected] ou [email protected]. Para direitos de titulares e privacidade: [email protected]. As solicitações são recebidas diretamente pela Scaledata por esse canal. A identificação e o contato de encarregado, quando designado, serão divulgados nesta Política.

Esta é uma minuta: identificação, canais, prestadores e períodos entre colchetes precisam ser confirmados antes da publicação definitiva. Ler esta Política ou aceitar os Termos não constitui consentimento genérico para tratar dados.

2. Abrangência e papéis

A Política abrange visitantes, usuários, síndicos, zeladores, representantes de fornecedores e pessoas que contatem o serviço. Dados de pessoa jurídica podem estar associados a pessoas naturais; essa associação recebe a proteção cabível.

A empresa responsável pela plataforma é controladora dos tratamentos que decide para contas, autenticação, segurança, intermediação, comissão e obrigações próprias. Condomínios e fornecedores são controladores dos tratamentos que decidem em sua administração, equipe, compra, venda, entrega, faturamento e cobrança.

Quando executar tratamento exclusivamente por instruções documentadas do condomínio ou fornecedor, para sua gestão interna, a plataforma atua como operadora nesse escopo. O papel depende da atividade efetiva. Instruções, responsabilidades e prestadores devem ser formalizados quando necessário. A empresa coopera no encaminhamento de pedidos ao responsável correto.

3. Dados tratados

Conta e contato: nome, e-mail, telefone, função, vínculos com organizações, permissões e dados de verificação. Para acesso com senha, é armazenado resumo criptográfico, sem senha em texto aberto. Também são tratados tokens de acesso, recuperação e confirmação e dados de sessão.

Organizações e compras: razão social, nome de apresentação, CNPJ, endereço, cidade, áreas atendidas, pagamento e representação. Nos pedidos: comprador e vendedor, itens, valores, frete, endereço e local de entrega, nome e telefone do solicitante, aprovações, ocorrências e chave do documento fiscal.

Uso e administração: movimentações de estoque, listas, relatórios, importações, autor e data das ações, notificações, versão e data de aceite dos Termos do Fornecedor. No suporte: mensagens e documentos estritamente necessários à verificação de representação ou solução do pedido.

Dados técnicos: cookies de sessão e preferência, eventos de segurança e, conforme a infraestrutura utilizada, IP e informações técnicas de acesso. [CONFIRMAR CAMPOS E PRAZOS DOS REGISTROS TÉCNICOS.] O processamento do pedido de insumos não exige que a plataforma receba senha bancária ou número completo de cartão.

Análise de audiência: o Google Analytics pode tratar identificadores de cookies ou dispositivo, características do navegador, páginas visitadas, eventos e dados aproximados de localização, conforme a configuração efetiva. Não devem ser enviados a essas ferramentas nomes, e-mails, telefones, conteúdo de pedidos ou outros campos que identifiquem diretamente os usuários. [CONFERIR VERSÃO DO ANALYTICS, EVENTOS, IDENTIFICADORES E CONFIGURAÇÕES ATIVOS.]

4. Origem e necessidade dos dados

Os dados vêm do titular, de quem cadastra a organização, de administradores que convidam a equipe, das partes do pedido ou do uso do serviço. O suporte pode receber documentos para comprovar representação ou trocar o síndico, limitados ao necessário. Dados adicionais precisam de finalidade e fundamento definidos.

Campos obrigatórios atendem à identificação, segurança, representação ou operação indicada. A ausência pode impedir aquele recurso, sem justificar coleta excessiva. Campos opcionais podem ser omitidos sem impedir funções que deles não dependam. Quem fornece dados de terceiros deve ter fundamento e informar os titulares quando cabível.

5. Finalidades e bases legais

Administrar a conta, autenticar e prestar recursos contratados: execução de contrato ou procedimentos preliminares quando o titular for parte. Para representantes e colaboradores que não sejam pessoalmente partes do contrato, pode ser utilizado legítimo interesse após avaliação da necessidade, expectativas e impactos, ou outra base efetivamente cabível.

Organizar estoque, listas, pedidos, aprovação, entrega e avisos: execução contratual nos casos cabíveis e legítimo interesse para contatos profissionais necessários à relação entre organizações, com minimização e acesso restrito. Nos tratamentos em que a plataforma for operadora, o controlador define e documenta a base e as instruções.

Atender deveres fiscais, contábeis, regulatórios e de conservação: obrigação legal ou regulatória. Preservar provas e atender demandas administrativas, arbitrais ou judiciais: exercício regular de direitos, limitado ao necessário. Prevenir fraude e proteger contas: legítimo interesse avaliado, com salvaguardas, sem afastar obrigação legal específica.

Fornecer relatórios a usuários autorizados: execução contratual quando o titular for parte, legítimo interesse avaliado nos demais casos cabíveis ou instruções documentadas do controlador quando a plataforma atuar como operadora. Análises de melhoria que envolvam dados pessoais dependem de finalidade delimitada e base adequada, inclusive avaliação de legítimo interesse quando utilizado. Indicadores regionais destinados a fornecedores devem ser agregados e protegidos contra identificação. Consentimento, se necessário para finalidade opcional, será específico, demonstrável e revogável.

Medir audiência por identificadores opcionais e, se implantada, personalizar ou medir publicidade: esta minuta prevê consentimento específico por categoria, separado do aceite contratual, com recusa e revogação acessíveis. [VALIDAR O MECANISMO DE ESCOLHA E O BLOQUEIO DAS FERRAMENTAS ANTES DE ASSUMIR ESSE COMPROMISSO NA VERSÃO DEFINITIVA.]

6. Acessos na plataforma

Síndicos e zeladores acessam dados do próprio condomínio segundo suas permissões. Representantes de fornecedor acessam seu cadastro, ofertas, pedidos e extratos. A equipe da plataforma acessa o necessário a suporte, segurança, ocorrências e obrigações próprias, conforme atribuições e confidencialidade.

O fornecedor do pedido recebe razão social e CNPJ do condomínio, endereço e local de entrega, nome e telefone do solicitante e dados da compra. Não recebe acesso ao estoque, consumo ou relatórios internos do condomínio nem a preços de concorrentes. Identificação e condições do fornecedor são exibidas aos compradores no fluxo de ofertas e pedidos.

7. Compartilhamento com terceiros

A hospedagem e o banco de dados PostgreSQL utilizam Amazon Web Services (AWS), com armazenamento principal no Brasil conforme informado pela empresa. A infraestrutura trata os dados necessários à hospedagem da aplicação e do banco. [CONFIRMAR ENTIDADE CONTRATADA, REGIÃO AWS, BACKUPS, ACESSOS DE SUPORTE E GARANTIAS CONTRATUAIS.]

Google Analytics é utilizado para estatísticas de audiência; Google Tag Manager administra a ativação das tags, cujos tratamentos dependem das ferramentas configuradas; Google Search Console fornece informações de indexação e desempenho das páginas na pesquisa. O Search Console não é tratado nesta minuta como uma tag de publicidade. [IDENTIFICAR ENTIDADE GOOGLE CONTRATADA, DADOS EFETIVOS, CONFIGURAÇÕES E EVENTUAIS VÍNCULOS COM PUBLICIDADE.]

Microsoft 365 é utilizado para as comunicações por e-mail, incluindo a conta [email protected]. Esse serviço pode tratar endereços de remetente e destinatário, conteúdo, anexos e metadados necessários à transmissão e à administração das mensagens. [CONFIRMAR LOCALIZAÇÃO DAS CAIXAS, ACESSOS, RETENÇÃO E CONDIÇÕES CONTRATUAIS.]

Outros prestadores de suporte, segurança e cobrança podem receber o necessário ao serviço contratado, com deveres de proteção e confidencialidade. Relação a completar: [PRESTADORES ATIVOS, FINALIDADES, DADOS, PAÍSES E PAPÉIS NO TRATAMENTO]. Anúncios ainda não estão ativos; sua eventual implantação exigirá atualização das informações, identificação das redes e tags e observância das escolhas aplicáveis.

Na cobrança da comissão, o prestador de pagamento [IDENTIFICAR PRESTADOR ATIVO] pode tratar identificação e contato do fornecedor e de seu representante, valor, referência da fatura e dados da transação. Esse fluxo é separado do pagamento dos insumos, feito diretamente ao vendedor.

Transportadores contratados pelo fornecedor podem receber o necessário à entrega, sob responsabilidade de quem decide esse tratamento. Também pode haver compartilhamento para cumprir obrigação legal, ordem válida ou exercício regular de direitos, após avaliação do alcance. Esta minuta não prevê comercialização de cadastros nem uso indiscriminado por parceiros.

8. Transferências internacionais

O armazenamento principal da aplicação e do banco foi informado como localizado no Brasil. Isso não garante que todos os tratamentos sejam exclusivamente nacionais: ferramentas Google utilizam infraestrutura global e devem ser avaliadas quanto aos fluxos e acessos efetivos. [CONFIRMAR DESTINATÁRIOS, PAÍSES, FINALIDADES, SUPORTE, BACKUPS E MECANISMOS DE EVENTUAIS TRANSFERÊNCIAS.] A sede de um prestador não determina, sozinha, onde os dados são tratados.

Transferências internacionais devem ter base legal para o tratamento e mecanismo válido segundo a LGPD e a ANPD, como decisão de adequação aplicável ou garantias contratuais adequadas. Informações sobre destinatários, finalidade, duração, direitos e salvaguardas serão fornecidas com transparência, segundo o mecanismo utilizado. O uso do site não implica consentimento genérico para transferência internacional.

9. Cookies e armazenamento no dispositivo

A minuta contempla cookies de autenticação, segurança e preferência do último condomínio acessado. A sessão tem duração máxima configurada de 30 dias, sujeita a renovação e revogação; a preferência ultimo_condo dura até um ano. Esses prazos não determinam a guarda de todos os dados no servidor. [VALIDAR NOMES, FINALIDADES, PRESTADORES E DURAÇÕES EFETIVOS.]

O Google Analytics pode utilizar cookies e identificadores para medir visitas e eventos. O Tag Manager administra tags e não deve ser confundido com uma autorização para ativar qualquer rastreador. [INVENTARIAR COOKIES E TAGS ATIVOS, INCLUSIVE NOMES E DURAÇÕES CONFIGURADOS, E INFORMAR O CAMINHO PARA GERENCIAR PREFERÊNCIAS.] Anúncios e remarketing, se adotados, exigirão identificação dos participantes, finalidade e escolhas correspondentes.

As ferramentas opcionais abrangidas pelo consentimento deverão permanecer desativadas antes da escolha, com possibilidade equivalente de aceitar ou recusar e de revisar a decisão. Recusar análise ou publicidade não deve impedir as funções essenciais. A implementação deve ser verificada também para tags e transmissões sem cookies. O navegador permite remover ou bloquear cookies; bloquear os necessários pode impedir autenticação ou preferências.

10. WhatsApp e mensagens

O botão de WhatsApp prepara uma mensagem e o usuário escolhe se deseja enviá-la. Uma lista compartilhada pode incluir nome do condomínio, itens e quantidades. Confira destinatário e conteúdo. A modalidade atual não envia mensagens automaticamente. Ao abrir ou usar o serviço externo, incidem também suas regras de tratamento.

E-mails de acesso, pedidos e conta atendem à operação do serviço. Marketing futuro deverá ter base legal adequada, informação clara e mecanismo de oposição ou cancelamento conforme o caso, sem transformar autorização opcional em requisito das funções essenciais.

11. Conservação, exclusão e backups

Os dados devem ser conservados pelo tempo necessário à finalidade, ao serviço, às obrigações legais ou ao exercício regular de direitos. O histórico institucional não autoriza guardar indefinidamente todos os dados pessoais. [DEFINIR RETENÇÃO DE CADASTRO, PEDIDOS, AUDITORIA, NOTIFICAÇÕES, SUPORTE E DOCUMENTOS, COM FUNDAMENTO E EVENTO INICIAL.]

Registros de acesso à aplicação devem ser conservados pelo prazo de seis meses do art. 15 do Marco Civil da Internet, com preservação adicional quando legalmente exigível. Registros de incidentes de segurança abrangidos pelo regulamento da ANPD devem ser conservados por pelo menos cinco anos desde o registro. Documentos fiscais e provas contratuais seguem os prazos e fundamentos de cada categoria. [VALIDAR A EXECUÇÃO DA GUARDA E DO DESCARTE DESSES REGISTROS.]

Parâmetros de limpeza a validar: conteúdo das linhas de importação após 90 dias, preservado o registro da importação; convites após mais de 30 dias de uso, vencimento ou cancelamento conforme a rotina; tokens usados ou vencidos após mais de um dia. [CONFIRMAR EXECUÇÃO DESTAS ROTINAS E PRAZOS DOS PRESTADORES.]

Ao encerrar a conta, acessos são revogados e os dados diretos do perfil são removidos ou substituídos conforme o procedimento aplicável. Pedidos, movimentos e trilhas institucionais podem permanecer com identificadores e elementos de contexto. A substituição do perfil não garante anonimização irreversível de todo o histórico: o que ainda permitir identificação permanece sujeito à LGPD e à avaliação de necessidade, inclusive em pedidos de eliminação.

[DEFINIR PRAZO DE RETENÇÃO E EXPURGO DE BACKUPS.] Cópias de segurança devem ter acesso restrito, ciclo de eliminação documentado e restauração que respeite solicitações atendidas e obrigações de preservação. Não há promessa de eliminação instantânea de todas as cópias.

12. Segurança e incidentes

A proteção envolve autenticação, permissões por organização, proteção de senhas e registros de ações, acompanhados de configuração, manutenção e acesso limitado. Não há segurança absoluta; isso não afasta os deveres de prevenção, apuração e resposta. [VALIDAR MEDIDAS E PROCESSO DE RESPOSTA EM PRODUÇÃO.]

Suspeitas podem ser comunicadas a [email protected]. A empresa deve conter, apurar e documentar incidentes e cooperar com os responsáveis. Se houver risco ou dano relevante aos titulares, o controlador deve comunicar a ANPD e os titulares em três dias úteis desde o conhecimento de que o incidente afetou dados pessoais, ressalvados prazo de lei específica e regime diferenciado efetivamente aplicável. A comunicação observará o conteúdo e os procedimentos regulamentares.

13. Direitos e como exercê-los

Conforme a LGPD e o caso concreto, o titular pode pedir confirmação e acesso; correção; anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados irregularmente; portabilidade nos termos da regulamentação; informações sobre compartilhamento; informações sobre a possibilidade e consequências de negar consentimento; revogação e eliminação de dados tratados por consentimento, ressalvada conservação legal.

Pode se opor a tratamento baseado em dispensa de consentimento quando houver descumprimento da LGPD, pedir revisão de decisão unicamente automatizada que afete seus interesses e receber informações cabíveis sobre critérios e procedimentos, preservados segredos comercial e industrial. Pode peticionar à ANPD e recorrer aos órgãos competentes.

O titular ou seu representante legal pode escrever a [email protected], descrevendo o pedido e o contato para retorno. A identidade será verificada proporcionalmente, sem exigir documentos excessivos. O atendimento é gratuito. Quando outra organização for responsável pelo tratamento, serão fornecidas orientações e cooperação cabíveis.

Confirmação e acesso serão fornecidos imediatamente em formato simplificado ou, por declaração clara e completa, em até 15 dias desde o requerimento, conforme o art. 19 da LGPD. Esse prazo não é aplicado indistintamente aos demais direitos. Outros pedidos seguem seus prazos específicos, com informação sobre o encaminhamento e eventual impossibilidade fundamentada. Revogação não invalida tratamento lícito anterior nem elimina dever legal de conservação.

14. Dados sensíveis, menores e automações

O serviço destina-se a adultos que representam organizações e não tem por finalidade cadastrar moradores, crianças, adolescentes ou dados sensíveis. Evite dados de saúde, biometria, religião ou outros sensíveis em observações e importações sem necessidade e fundamento específico. Conteúdo assim recebido deve ser avaliado quanto à necessidade, base e destino; o melhor interesse de crianças e adolescentes deve ser observado quando seus dados estiverem envolvidos.

Há regras para sugerir reposição e ordenar ofertas; a escolha de compra cabe a usuários autorizados. Existem também rotinas de expiração de pedidos, registro automático de entrega e suspensão por inadimplência, com os efeitos descritos nos Termos. Esclarecimento e revisão de decisão unicamente automatizada que afete interesses podem ser solicitados pelo canal de privacidade nos limites da LGPD.

15. Atualizações

Versão e data identificam o texto após aprovação e publicação. Mudanças relevantes de finalidade, compartilhamento ou direitos serão informadas de forma acessível antes de sua aplicação quando necessário. Se dependerem de consentimento, haverá solicitação específica. A continuidade de uso não autoriza finalidade incompatível com a informação original.