Política de Privacidade

1. Quem Somos e os Papéis na LGPD

A Dataprime Sistemas e Informatica Ltda ("Dataprime", "nós" ou "nosso"), pessoa jurídica de direito privado, CNPJ 08.484.311/0001-85, localizada na Rua Claudio Nei de Lazzari, 141 - Sala 6, CEP 14096-690, Ribeirão Preto - SP, é a desenvolvedora e titular da plataforma ControArte ("Plataforma").

Esta Política de Privacidade ("Política") explica como coletamos, usamos, armazenamos e protegemos os dados pessoais dos usuários ("Usuário", "você", "seu") da Plataforma, em conformidade com a Lei Geral de Proteção de Dados (LGPD — Lei Federal nº 13.709/2018). Ao utilizar o ControArte, você declara ter lido, compreendido e concordado com esta Política.

Para alguns dados, a Dataprime é a Controladora — é o caso dos seus próprios dados de cadastro, pagamento e uso da Plataforma (você é o titular direto). Já para os dados de terceiros que você mesmo insere no sistema (seus clientes, fornecedores, funcionários, consumidores em registros de cosmetovigilância), quem decide o quê coletar e por quê é você — nesse caso, você é o Controlador desses dados perante a LGPD, e a Dataprime atua como Operadora: cuida da parte técnica com segurança, mas não decide o que é coletado, e não verifica, nem tem como verificar, se você obteve autorização dos titulares.

A responsabilidade de ter autorização (base legal) para coletar dado de terceiro — como o CPF do seu cliente ou o relato de uma reação alérgica de um consumidor — é sua. A Dataprime adota medidas técnicas para proteger o dado (ver Seção 8). Mais detalhes nos Termos de Uso, Seção 7.

2. Dados Pessoais Coletados

Coletamos as seguintes categorias de dados pessoais:

Dados fornecidos pelo Usuário

• Dados de cadastro: nome, e-mail e senha de acesso;
• Dados de cobrança: o histórico das cobranças da assinatura (data, valor e situação), a bandeira e os quatro últimos números do cartão e os identificadores da assinatura junto ao provedor de meios de pagamento. O número completo do cartão, o código de segurança e o CPF digitados no formulário de pagamento são tratados diretamente pelo provedor de meios de pagamento, em formulário dele exibido dentro do ControArte, e não chegam aos servidores da Dataprime;
• Dados operacionais: informações sobre ingredientes, fórmulas, produções, vendas, compras, fornecedores e demais dados inseridos pelo Usuário na Plataforma;
• Logo: imagem do logo da empresa do Usuário, caso fornecida;
• Dados enviados à assistente de IA Ayla: o texto das suas perguntas, o contexto operacional mínimo necessário (por exemplo: nome de um ingrediente, dados de uma fórmula em edição, nível de estoque) e eventuais fotos, PDFs ou mensagens de voz que você enviar na conversa. Veja a Seção 4 para os detalhes de como a Ayla funciona.

Dados coletados automaticamente

• Dados de acesso: data, hora e duração do acesso; informações técnicas do dispositivo e navegador;
• Registros de segurança: eventos de segurança da conta, como tentativas de acesso e uso da verificação em duas etapas;
• Cookies técnicos: cookies estritamente necessários para o funcionamento da Plataforma (autenticação, sessão, segurança). Não são usados para rastreamento ou publicidade.

Importante: Na página inicial e na página de cadastro, e somente se você aceitar, usamos cookies de análise e de marketing, como os do Google Analytics e do Google Ads, para medir a audiência do site e a eficácia das nossas campanhas e para mostrar anúncios (Seção 10). Dentro da Plataforma e nos catálogos online das lojas, não usamos ferramentas de rastreamento nem de publicidade de terceiros.

3. Finalidades e Base Legal do Tratamento

Utilizamos os dados pessoais para:

• Prestação do Serviço de gestão (execução contratual — Art. 7º, V, LGPD);
• Autenticação e controle de acesso (execução contratual);
• Processamento do pagamento da assinatura pelo provedor de meios de pagamento (execução contratual);
• Suporte técnico e atendimento de dúvidas (execução contratual);
• Prestação do serviço de assistência por IA (Ayla) — os dados necessários são processados por fornecedores de inteligência artificial contratados pela Dataprime, exclusivamente para gerar a resposta (execução contratual — Art. 7º, V, LGPD; ver Seção 4);
• Cumprimento de obrigações legais e regulatórias (Art. 7º, II, LGPD), incluindo normas da ANVISA e do Marco Civil da Internet;
• Prevenção a fraude e proteção da segurança e integridade da Plataforma (legítimo interesse — Art. 7º, IX, LGPD);
• Exercício regular de direitos em processo judicial, administrativo ou arbitral (Art. 7º, VI, LGPD).

4. Assistente de Inteligência Artificial (Ayla)

4.1. O que é. A Ayla é a assistente de inteligência artificial do ControArte. Ela responde perguntas sobre o uso da Plataforma e sobre cosméticos artesanais e executa, a pedido do Usuário, ações nos dados da própria conta. A Ayla não toma decisões por conta própria: toda ação que cria, altera ou apaga dados é feita a pedido do Usuário e, quando relevante, após confirmação dele na tela. Não há decisão tomada unicamente por tratamento automatizado que afete os interesses do Usuário (art. 20 da LGPD).

4.2. Quais dados são tratados. Para responder, a Ayla recebe o texto da pergunta, o histórico da conversa atual, os arquivos que o Usuário enviar na conversa (foto, PDF, mensagem de voz) e apenas os dados operacionais da conta necessários à resposta (por exemplo, nome de um ingrediente, dados de uma fórmula, nível de estoque). Dados pessoais de terceiros cadastrados pelo Usuário (clientes, fornecedores, consumidores) podem fazer parte desse contexto quando a pergunta exigir — nesse caso, aplica-se também a Seção 1 sobre o papel do Usuário como Controlador.

4.3. Quem processa e onde. A geração das respostas, a leitura de arquivos e a transcrição de áudio são feitas por fornecedores de inteligência artificial contratados pela Dataprime, que atuam como operadores e tratam os dados exclusivamente para gerar a resposta. Esse processamento pode ocorrer em servidores fora do Brasil, nas condições da Seção 6.

4.4. Garantias contratuais. Os fornecedores de inteligência artificial são contratualmente obrigados a: não guardar o conteúdo enviado nem a resposta depois de gerá-la (retenção zero); não usar os dados para treinar modelos; e não compartilhar os dados com terceiros. O histórico das conversas fica armazenado apenas no ControArte, no Brasil, para consulta do Usuário, com medidas de proteção dos dados pessoais.

4.5. Limites. A Ayla pode errar. O Usuário é responsável por conferir as respostas antes de usá-las. As regras de uso da assistente estão na Política de Uso da IA.

5. Compartilhamento de Dados

Seus dados pessoais podem ser compartilhados com:

• Provedor de meios de pagamento — recebe o e-mail do Usuário, o plano contratado e, diretamente pelo formulário de cartão exibido dentro do ControArte, os dados do cartão, para processar a assinatura. Trata esses dados conforme a política de privacidade própria dele, disponível em seu site;
• Fornecedores de inteligência artificial — processam o conteúdo das conversas com a Ayla, exclusivamente para gerar a resposta, nas condições da Seção 4;
• Google (Google Analytics e Google Ads) e outras plataformas de publicidade que usarmos — somente se você aceitar os cookies de marketing. Recebem dados de navegação da página inicial e da página de cadastro para medir audiência e campanhas e para mostrar anúncios (Seção 10);
• Provedor de hospedagem — servidor localizado no Brasil (ver Seção 6);
• Sucessor na operação da Plataforma — em caso de reorganização societária, fusão, aquisição ou venda do negócio, conforme os Termos de Uso, Seção 10.1;
• Autoridades públicas — quando exigido por lei, ordem judicial ou regulatório.

A relação atualizada dos fornecedores que tratam dados pessoais em nosso nome, com o tipo de serviço prestado e o país de processamento, pode ser solicitada pelo e-mail [email protected] (Art. 18, VII, LGPD).

6. Transferência Internacional

Os dados pessoais são armazenados em servidores localizados no Brasil. Para a assistente Ayla (Seção 4), a pergunta, o contexto necessário e os arquivos enviados podem ser transferidos temporariamente para servidores fora do Brasil, onde são processados apenas para gerar a resposta e não ficam armazenados. Se você aceitar os cookies de análise ou de marketing (Seção 10), os dados de navegação enviados ao Google e a outras plataformas podem ser processados em servidores fora do Brasil.

Essas transferências são feitas com base nos arts. 33 a 36 da LGPD e na regulamentação da Autoridade Nacional de Proteção de Dados (ANPD), mediante cláusulas contratuais de proteção de dados firmadas com os fornecedores e, quando aplicável, por serem necessárias à execução do contrato com o Usuário (art. 33, IX, LGPD). A relação dos fornecedores e dos países de processamento pode ser solicitada pelo e-mail [email protected].

7. Retenção de Dados

Os dados pessoais são mantidos pelo tempo necessário à prestação do Serviço e ao cumprimento de obrigações legais:

• Dados de cadastro e acesso: mantidos enquanto a conta estiver ativa;
• Dados operacionais (fórmulas, vendas, etc.): mantidos enquanto a conta estiver ativa e pelo prazo adicional de 90 (noventa) dias após o cancelamento;
• Dados de pagamento: o número do cartão, o código de segurança e o CPF não são armazenados pelo ControArte — ficam com o provedor de meios de pagamento, conforme a política de retenção própria dele. O ControArte guarda a bandeira, os quatro últimos números do cartão e o histórico das cobranças da assinatura;
• Conversas com a Ayla: o histórico das conversas fica armazenado no ControArte (para você poder revisar) enquanto sua conta estiver ativa. O conteúdo enviado ao fornecedor de inteligência artificial para processamento não fica guardado por ele depois de gerada a resposta (retenção zero).

Depois dos 90 dias, os dados da conta são apagados de forma definitiva, sem novo aviso, e não podem ser recuperados; as cópias de segurança são eliminadas no seu ciclo normal de expiração. A Dataprime pode, porém, conservar determinados dados pelo tempo necessário para: (a) cumprir obrigação legal ou regulatória (por exemplo, registros de acesso por 6 meses, conforme o Marco Civil da Internet; documentos fiscais e de cobrança pelo prazo da legislação tributária; registros de cosmetovigilância pelo prazo exigido pela ANVISA); (b) exercer regularmente direitos em processo judicial, administrativo ou arbitral, inclusive para defesa em eventual disputa com o Usuário ou com terceiros, pelo prazo de prescrição aplicável; (c) prevenir fraude e garantir a segurança (como registros de bloqueio e de uso abusivo). Nesses casos, os dados ficam com acesso restrito e são usados só para essas finalidades (art. 7º, II, VI e IX, e art. 16, LGPD). Em vez de apagar, a Dataprime pode anonimizar os dados, que então deixam de ser dados pessoais e podem ser usados para estatística, segurança e melhoria da Plataforma.

8. Segurança

Adotamos medidas técnicas e administrativas apropriadas para proteger dados pessoais contra acesso não autorizado, alteração, divulgação ou destruição, incluindo:

• Senhas armazenadas apenas em formato protegido (hash), nunca em texto legível;
• Conexão criptografada (HTTPS) entre seu navegador e o ControArte;
• Controle de acesso restrito por perfil de usuário, segregado por funcionalidade;
• Login com e-mail e senha, com sessão protegida;
• Verificação em duas etapas, disponível para proteger ainda mais a sua conta;
• Contratos de proteção de dados com os fornecedores que tratam dados pessoais em nosso nome, com obrigação de retenção zero e proibição de uso para treinamento no caso dos fornecedores de inteligência artificial;
• Cópia de segurança automática, feita todos os dias e guardada em um local diferente do servidor principal, para recuperação de desastres da Plataforma como um todo;
• Monitoramento de disponibilidade e alertas em caso de incidente.

A equipe da Dataprime pode acessar dados pessoais tratados na Plataforma quando necessário para suporte solicitado pelo titular da conta, segurança, prevenção de fraude e abuso, cobrança ou cumprimento de obrigação legal, sempre sob dever de confidencialidade.

8.1. Notificação de Incidente de Segurança

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares dos dados pessoais, a Dataprime:

a) Comunicará o fato à Autoridade Nacional de Proteção de Dados (ANPD) em até 3 (três) dias úteis, contados da data em que a Dataprime tomar conhecimento do incidente, conforme art. 48 da LGPD e Resolução CD/ANPD nº 15/2024;

b) Comunicará aos titulares afetados no mesmo prazo de 3 (três) dias úteis, quando o incidente puder causar prejuízo relevante aos seus direitos, indicando:
- Descrição dos dados pessoais afetados;
- Medidas técnicas e administrativas adotadas para mitigar os efeitos do incidente;
- Recomendações de segurança a serem adotadas pelo titular;
- Canais de contato para esclarecimentos.

A obrigação de comunicação não se aplica quando a Dataprime comprovar que adotou todas as medidas de proteção adequadas e que o incidente ocorreu em razão de conduta exclusiva do titular ou de terceiros que não tenham relação com a Dataprime.

8.2. Medidas Adotadas pelo Usuário

A segurança da conta depende também de condutas do próprio Usuário. Vide Termos de Uso, Seção 7.1, para as obrigações específicas do Usuário quanto à segurança de suas credenciais e dispositivos de acesso.

9. Seus Direitos (Titular)

Você tem direito a:

• Confirmar que existe tratamento de seus dados;
• Acessar seus dados pessoais;
• Corrigir dados incompletos, inexatos ou desatualizados;
• Solicitar a anonimização, bloqueio ou eliminação de dados desnecessários;
• Solicitar a portabilidade de seus dados a outro fornecedor;
• Solicitar a eliminação de dados tratados com seu consentimento;
• Obter informações sobre o compartilhamento com terceiros;
• Revogar o consentimento a qualquer tempo (para tratamentos baseados em consentimento);
• Opor-se a tratamento realizado com base em legítimo interesse.

Para exercer seus direitos, envie um e-mail para [email protected]. Para proteger os titulares, a Dataprime pode pedir documento ou informação adicional para confirmar a identidade de quem faz um pedido antes de atendê-lo.

Se você é cliente, fornecedor ou consumidor de um Usuário do ControArte (por exemplo, seus dados foram cadastrados por uma produtora que usa o sistema), quem decide sobre esses dados é esse Usuário, que é o Controlador perante a LGPD. Pedidos de acesso, correção ou exclusão devem ser feitos diretamente a ele; a Dataprime, como Operadora, só altera ou apaga esses dados por instrução do Usuário ou por determinação legal.

10. Cookies

O ControArte utiliza cookies técnicos, estritamente necessários para o funcionamento da Plataforma:

• Cookie de sessão: mantém você logado enquanto navega;
• Cookies da verificação em duas etapas: usados só por quem liga essa verificação;
• Cookie de verificação extra: usado só no login do administrador do sistema.

Também usamos, somente se você aceitar, cookies de análise (para medir a audiência da página inicial e da página de cadastro, como o Google Analytics) e cookies de marketing (para medir campanhas e mostrar anúncios, como o Google Ads). Você escolhe cada tipo no aviso de cookies (consentimento, Art. 7º, I, LGPD) e pode mudar de ideia a qualquer momento em "Preferências de cookies", no rodapé dessas páginas, ou nas configurações do seu navegador. Recusar não limita nenhuma função da Plataforma.

11. Crianças e Adolescentes

O ControArte não é direcionado a menores de 18 anos. Não coletamos intencionalmente dados pessoais de crianças ou adolescentes. Ao tomar conhecimento de coleta acidental, os dados serão excluídos.

12. Alterações a esta Política

Esta Política pode ser atualizada a qualquer tempo. Alterações relevantes serão comunicadas por e-mail ou aviso na Plataforma, com pelo menos 15 (quinze) dias de antecedência quando a alteração reduzir de forma relevante as garantias aqui descritas. O uso continuado após a entrada em vigor da alteração constitui aceite da nova Política.

A substituição de um fornecedor de tecnologia que não altere as garantias desta Política (categoria de dado, finalidade, país de processamento e proteções contratuais) não exige novo aceite.

13. Encarregado de Dados (DPO) e Contato

Para questões relacionadas ao tratamento de dados pessoais ou dúvidas sobre esta Política, entre em contato:

Dataprime Sistemas e Informatica Ltda
CNPJ: 08.484.311/0001-85
E-mail: [email protected]