Versão provisória
Este texto está em revisão jurídica e pode mudar antes do lançamento.
Política de privacidade
Atualizado em [data da publicação]
1. Quem somos
O Koru é uma plataforma para criar, enviar e acompanhar propostas comerciais. Ele é operado por [RAZÃO SOCIAL], CNPJ [CNPJ]. Esta política explica quais dados tratamos, para quê, por quanto tempo e quais são os seus direitos, conforme a Lei Geral de Proteção de Dados (Lei 13.709/2018).
O Koru tem dois tipos de pessoas envolvidas:
- quem usa o Koru: a empresa ou o profissional que cria as propostas, e as pessoas da equipe dela;
- o cliente final: quem recebe a proposta pelo link e pode aceitá-la ou recusá-la.
2. Dados que coletamos
- Da sua conta:
- nome, e-mail e senha (guardada de forma irreversível);
- ou o identificador da sua conta Google, se você entrar com ela;
- a organização a que você pertence;
- a data em que aceitou os Termos de uso.
- Das propostas que você cria:
- os dados da sua empresa;
- os dados do cliente que você informar (nome, documento, e-mail, telefone, endereço);
- os itens, os valores e as condições.
- Do uso:
- os registros de acesso (data, hora e endereço IP), como exige o Marco Civil da Internet;
- os eventos de cada proposta (criada, enviada, visualizada, aceita, recusada).
- Do cliente final que abre o link:
- a data e a hora em que a proposta foi visualizada e por qual envio;
- endereço IP e informações do navegador.
3. Dados do aceite eletrônico
Quando o cliente final aceita uma proposta, registramos:
- identificação: nome, CPF ou CNPJ e e-mail informados por ele;
- momento: data e hora do aceite;
- origem: endereço IP e informações do navegador e do dispositivo (sistema, navegador, idioma, fuso horário, tamanho e densidade da tela, tipo de toque) e um código calculado a partir delas;
- conteúdo: uma cópia do conteúdo exato da proposta aceita, com um código de verificação.
Esses dados servem exclusivamente para comprovar o aceite: quem aceitou, quando, de onde e o quê. A empresa que emitiu a proposta e o cliente recebem o comprovante. Não usamos técnicas invasivas de identificação do dispositivo.
Na recusa, registramos a data e a hora, o endereço IP e as informações do navegador. O motivo e o comentário só são registrados se o cliente os informar.
4. Para que usamos
| Finalidade | Dados | Base legal (LGPD) |
|---|---|---|
| Prestar o serviço: criar, enviar e acompanhar propostas | conta, propostas, eventos | execução de contrato (art. 7º, V) |
| Comprovar o aceite eletrônico | dados do aceite (seção 3) | exercício regular de direitos (art. 7º, VI) |
| Segurança, prevenção de fraude e registros de acesso | IP, navegador, registros | obrigação legal (Marco Civil, art. 15) e legítimo interesse (art. 7º, IX) |
| Avisos sobre a sua conta e as suas propostas | execução de contrato |
Não usamos os dados do cliente final para marketing, e não vendemos dados.
5. Com quem compartilhamos
- Com a empresa que emitiu a proposta: os dados do cliente final que ela informou e os registros de visualização, aceite e recusa. A empresa é a controladora desses dados e o Koru é o operador, que os trata seguindo as instruções dela e estes termos.
- Com provedores que operam a plataforma, sempre sob contrato:
- hospedagem (Railway, planejado);
- armazenamento de arquivos (Amazon Web Services, planejado);
- envio de e-mail (Amazon SES, planejado);
- monitoramento de erros (Sentry, planejado), sem dados pessoais nos registros;
- login com Google, se você escolher.
- Transferência internacional: alguns provedores guardam dados fora do Brasil. A transferência segue o art. 33 da LGPD, com cláusulas contratuais.
- Autoridades: quando a lei exigir.
6. Por quanto tempo guardamos
| Dado | Prazo |
|---|---|
| Dados do aceite (seção 3) | 10 anos contados do aceite, prazo de prescrição das pretensões contratuais (Código Civil, art. 205). Depois são anonimizados |
| Registros de acesso, visualização e recusa (IP e navegador) | 6 meses (Marco Civil, art. 15). Depois são anonimizados |
| Conta e propostas | enquanto a conta existir. Depois do cancelamento, veja abaixo |
| Decisão, datas, valores e códigos de verificação | sem prazo, porque não identificam pessoas |
Se a organização cancelar a conta, os dados do aceite continuam guardados até o fim do prazo, apenas para a comprovação. Ela recebe uma cópia dos comprovantes. Os demais dados são excluídos ou anonimizados em até [90] dias.
7. Seus direitos
Você pode pedir a qualquer momento:
- confirmação e acesso aos seus dados;
- correção;
- anonimização, bloqueio ou eliminação do que for desnecessário;
- portabilidade;
- informação sobre com quem compartilhamos;
- revisão de decisões automatizadas (não fazemos nenhuma).
Se você é cliente final de uma proposta: a controladora dos seus dados é a empresa que enviou a proposta. Fale primeiro com ela. Se pedir a nós, encaminhamos o pedido e ajudamos a atendê-lo.
Dados do aceite: como servem para comprovar um contrato, podem ser mantidos pelo prazo da seção 6 mesmo com um pedido de exclusão (LGPD, art. 16, I).
9. Contato
Encarregado de dados (DPO): [NOME] · [privacidade@koru.app — provisório].
Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).
Como seus dados são usados no aceite
Registramos data, hora, IP e dispositivo como comprovante.