1. Quem somos e a quem esta política se aplica
O Notas.buzz é um serviço de notas, tarefas e colaboração para empresas, oferecido por [razão social], inscrita no CNPJ sob o nº [número], com sede em [endereço] (“Notas.buzz”, “nós”).
Esta política explica como tratamos dados pessoais, nos termos da Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018, “LGPD”). Ela vale para o site, para o app e para os canais de atendimento.
Há dois papéis diferentes:
- Controlador: somos controladores dos dados de cadastro, de cobrança, de segurança e de uso do serviço, e dos dados enviados pelos formulários do site.
- Operador: o conteúdo que as pessoas de uma empresa cliente colocam no Notas.buzz (notas, anexos, comentários, tarefas e eventos) pertence a essa empresa, que é a controladora. Nós tratamos esse conteúdo em nome dela, conforme o contrato e as instruções dela.
2. Dados que tratamos
| Categoria | Exemplos |
|---|---|
| Cadastro e conta | Nome, e-mail, empresa, filial, papel (administrador ou membro), preferências e configurações. |
| Conteúdo | Notas, anexos, gravações, comentários, tarefas, eventos e o que mais as pessoas colocarem no serviço. |
| Segurança e uso | Registros de acesso (data, hora, endereço IP, aplicativo e sistema), local aproximado derivado do IP, histórico de atividades na empresa e informações técnicas de erros. |
| Integrações | Quando a pessoa conecta uma conta (Google, Microsoft ou Slack): identificação da conta conectada, calendários escolhidos e tokens de acesso, guardados cifrados. |
| Cobrança | Dados da empresa para emissão de faturas e o histórico de pagamentos. |
| Contato | Nome, e-mail, empresa e mensagem enviados pelo formulário de contato ou por e-mail. |
Não pedimos dados pessoais sensíveis. Se uma empresa cliente decidir guardar esse tipo de dado nas notas, ela é responsável por ter uma base legal adequada.
3. Para que usamos os dados e com qual base legal
- Prestar o serviço contratado: criar e manter contas, guardar e sincronizar o conteúdo, enviar notificações e lembretes (execução de contrato).
- Proteger as contas e o serviço: autenticação, verificação em duas etapas, prevenção de fraudes e de abusos, investigação de incidentes (legítimo interesse e execução de contrato).
- Cumprir obrigações legais, como a guarda de registros de acesso a aplicações prevista no Marco Civil da Internet e as obrigações fiscais (cumprimento de obrigação legal).
- Atender e melhorar: responder a contatos, resolver relatos de problemas e melhorar o produto com informações técnicas e de uso (legítimo interesse).
- Comunicações sobre o produto, como novidades e avisos de manutenção; mensagens de marketing só com consentimento, que pode ser retirado a qualquer momento.
4. Inteligência artificial
Os recursos de IA (assistente, edição com IA, resumo de reunião e leitura de imagens) são acionados por quem os usa. Nesse momento, o texto ou a imagem necessários para a resposta são enviados ao fornecedor do modelo de IA, [Anthropic, PBC], que os processa para gerar a resposta, nos termos do contrato com esse fornecedor.
A busca por significado e as notas relacionadas são calculadas no nosso próprio ambiente, sem envio a serviço externo. Cada pessoa pode desligar os recursos de IA nas configurações, e a empresa pode contratar um plano sem IA.
5. Com quem compartilhamos
Não vendemos dados pessoais. Compartilhamos apenas o necessário com fornecedores que tratam dados em nosso nome (suboperadores), sob contrato:
- Infraestrutura de nuvem, banco de dados e armazenamento de arquivos: [Supabase e os provedores de nuvem que ele utiliza].
- Modelo de IA, quando um recurso de IA é usado: [Anthropic].
- Envio de e-mails transacionais (convites, avisos, lembretes): [provedor de e-mail].
- Notificações push: os serviços de mensagens dos próprios navegadores e sistemas operacionais.
- Integrações que a própria pessoa conecta (Google, Microsoft, Slack): os dados vão para essas empresas conforme a escolha da pessoa e os termos delas.
Também podemos compartilhar dados para cumprir ordem judicial ou exigência legal, e em caso de reorganização societária, com as mesmas proteções desta política. A lista atualizada de suboperadores está disponível mediante solicitação ao encarregado.
6. Transferência internacional
Alguns fornecedores podem tratar dados fora do Brasil. Nesses casos, adotamos as salvaguardas previstas no art. 33 da LGPD e na regulamentação da Autoridade Nacional de Proteção de Dados (ANPD), como cláusulas contratuais. [Indicar a região de hospedagem principal.]
7. Por quanto tempo guardamos
- Conteúdo: enquanto a conta e o contrato da empresa estiverem ativos. Notas excluídas ficam na lixeira até serem apagadas de vez. Depois do fim do contrato, a empresa tem [prazo] dias para exportar o conteúdo; em seguida, ele é excluído, salvo obrigação legal.
- Registros de acesso: pelo menos seis meses, conforme o Marco Civil da Internet, e pelo prazo necessário para a segurança do serviço.
- Cobrança: pelos prazos da legislação fiscal e contábil.
- Cópias de segurança: por até [prazo], de forma protegida, até serem substituídas.
8. Segurança
Adotamos medidas técnicas e administrativas para proteger os dados, entre elas: isolamento dos dados de cada empresa por regras de acesso no banco de dados, comunicação cifrada (HTTPS), verificação em duas etapas, login único para empresas, registros de atividade e de acesso, tokens de integração guardados cifrados e credenciais de acesso guardadas apenas como hash. Nenhum sistema é totalmente imune a falhas; em caso de incidente de segurança que possa gerar risco ou dano relevante, comunicaremos as empresas afetadas e a ANPD, nos termos da lei.
9. Seus direitos
Você pode pedir, nos termos do art. 18 da LGPD: confirmação de que tratamos seus dados; acesso; correção; anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade; portabilidade; informação sobre com quem compartilhamos; informação sobre a possibilidade de não consentir e as consequências; revogação do consentimento; e revisão de decisões tomadas unicamente com base em tratamento automatizado.
Se o pedido for sobre o conteúdo de uma empresa cliente, encaminhe-o ao administrador dessa empresa, que é a controladora; nós apoiamos a empresa a responder. Pedidos sobre os dados que controlamos podem ser feitos ao nosso encarregado, pelo contato abaixo. Você também pode apresentar reclamação à ANPD.
10. Cookies e armazenamento local
O site usa o armazenamento do navegador apenas para lembrar escolhas suas, como o tema (claro ou escuro) e o ciclo de preços exibido. Não usamos cookies de publicidade. As fontes do site são carregadas do Google Fonts, o que envolve o envio do seu endereço IP ao Google ao abrir a página.
No app, o armazenamento do navegador guarda a sessão, as preferências e, para o uso sem internet, as notas abertas e as edições pendentes. Esses dados ficam no aparelho e são apagados quando você sai da conta.
11. Crianças e adolescentes
O Notas.buzz é destinado ao uso profissional e educacional por meio de organizações contratantes. Quando uma instituição de ensino cliente cadastrar estudantes menores de idade, ela é a controladora desses dados e deve observar o art. 14 da LGPD, inclusive quanto ao consentimento dos responsáveis. [Revisar conforme o público-alvo.]
12. Alterações desta política
Podemos atualizar esta política para refletir mudanças no serviço ou na lei. Mudanças relevantes serão avisadas no app ou por e-mail antes de entrarem em vigor. A data da versão fica no topo da página.
13. Encarregado e contato
Encarregado pelo tratamento de dados pessoais: [nome do encarregado]. E-mail: [e-mail do encarregado]. Para outros assuntos, use a página de contato.