Política de privacidade

1. Quem somos e em que papel

O Captat é oferecido por Captat (Upspot LTDA - EPP, CNPJ 65.304.555/0001-72). Nos termos da Lei Geral de Proteção de Dados (Lei 13.709/2018):

• somos controladores dos dados das contas de acesso (nome, e-mail, segurança e registros de uso), que tratamos para prestar o serviço com segurança;
• somos operadores dos dados pessoais que o órgão contratante insere nos seus processos (por exemplo, nomes em documentos): tratamos esses dados só para executar o serviço, conforme as instruções do órgão, que é o controlador.

2. Que dados tratamos e para quê

• Conta: nome, e-mail institucional, órgão e papel de acesso — para identificar o usuário e controlar o que cada um pode ver (execução de contrato e legítimo interesse).
• Segurança: senha (guardada cifrada, nunca em texto), configuração da verificação em duas etapas, sessões, endereço IP e data de acesso — para proteger a conta e cumprir o Marco Civil da Internet (guarda de registros de acesso por 6 meses).
• Trilha de auditoria: quem fez o quê e quando no sistema — para segurança e para que o órgão possa provar o processo seguido (legítimo interesse e cumprimento de obrigação do órgão).
• Aceite destes documentos: versão, data, hora e IP — para comprovar o aceite.
• Dados públicos: informações oficiais de transferências, programas e municípios (Transferegov, IBGE, Portal da Transparência). Quando uma fonte traz pessoa física, não exibimos CPF.

Não usamos os dados para publicidade, não vendemos dados e não usamos cookies de rastreamento: só o cookie de sessão, necessário para o login.

3. Com quem compartilhamos

Somente com fornecedores necessários para o serviço funcionar, sob contrato e dever de sigilo:

• hospedagem dos servidores e das cópias de segurança (Hetzner Online GmbH);
• rede de entrega e proteção contra ataques (Cloudflare);
• envio de e-mails do sistema, como convites e redefinição de senha (Resend).

Os servidores do sistema ficam nos Estados Unidos (Ashburn) e a cópia de segurança externa, cifrada, na Alemanha (Falkenstein), ambos na Hetzner. A transferência internacional segue o art. 33 da LGPD, com cláusulas contratuais e medidas de segurança. Dados também podem ser fornecidos a autoridades quando a lei ou uma ordem judicial exigir.

4. Por quanto tempo guardamos

• Dados da conta: enquanto houver contrato com o órgão e o usuário tiver acesso.
• Registros de acesso: no mínimo 6 meses (Marco Civil da Internet).
• Trilha de auditoria e aceites: durante o contrato e pelo prazo necessário para defesa em processos administrativos, de controle ou judiciais.
• Cópias de segurança: 14 dias no servidor e prazo equivalente na cópia externa, cifrada.

5. Como protegemos

Conexões cifradas (HTTPS e TLS também entre os servidores e o banco de dados), senhas guardadas com função de hash, verificação em duas etapas, isolamento dos dados de cada órgão no banco de dados, trilha de auditoria que não pode ser alterada pela aplicação e cópias de segurança diárias com teste de restauração.

6. Seus direitos

Você pode pedir confirmação do tratamento, acesso, correção, anonimização, portabilidade, eliminação (quando cabível), informação sobre compartilhamento e revisão de decisões automatizadas (LGPD, art. 18). Para dados que o órgão insere nos processos, o pedido é encaminhado ao órgão, que é o controlador. Também é possível reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

7. Contato e encarregado

Encarregado pelo tratamento de dados e pedidos de titulares: [email protected].

8. Mudanças nesta política

Quando esta política mudar, a versão sobe e o sistema pede um novo aceite no próximo acesso.