Esta Política de Privacidade explica como dados pessoais podem ser tratados no contexto do SGC — Sistema de Gestão Cooperativa, tanto na navegação pública quanto no uso autenticado da plataforma.
1. Escopo
Esta Política se aplica aos sites, páginas públicas, contas de acesso, painéis, módulos, integrações, suporte e demais serviços identificados como parte do SGC. Contratos específicos com organizações clientes podem estabelecer regras adicionais de proteção de dados.
2. Papéis de tratamento segundo a LGPD
A definição de quem é controlador e quem é operador depende da atividade concreta:
- Dados inseridos por uma organização cliente: em regra, a organização que define as finalidades e regras de uso desses dados tende a atuar como controladora, enquanto o responsável pelo SGC pode atuar como operador, conforme contrato e instruções documentadas.
- Dados da relação direta com o SGC: em situações como criação de contas, autenticação, suporte, segurança, prevenção a fraude, registros técnicos e administração da plataforma, o responsável pelo SGC poderá atuar como controlador.
- Responsabilidade compartilhada: certas integrações ou fluxos podem exigir avaliação específica. A qualificação jurídica decorre dos fatos e não apenas do nome usado em contrato.
3. Categorias de dados que podem ser tratadas
3.1 Dados de cadastro e conta
Nome, e-mail, telefone, identificadores de conta, organização vinculada, perfil, função, permissões, credenciais protegidas e informações relacionadas à autenticação.
3.2 Dados inseridos no ambiente da organização
Conforme os módulos habilitados, o ambiente poderá conter dados de associados, membros, clientes, fornecedores, responsáveis, projetos, entregas, documentos, comprovantes, movimentações financeiras, históricos e outras informações cadastradas pela organização usuária.
3.3 Dados técnicos e de segurança
Endereço IP, data e horário de acesso, informações de sessão, navegador, sistema operacional, eventos de autenticação, registros de auditoria, logs de aplicação, identificadores técnicos e dados necessários para prevenção e investigação de incidentes.
3.4 Atendimento e suporte
Conteúdo de mensagens, solicitações, anexos enviados voluntariamente e informações necessárias para resolver dúvidas ou problemas.
3.5 Dados da landing page
O formulário de contato pode solicitar nome, organização, e-mail, telefone e uma descrição da necessidade. Esses dados são usados exclusivamente para responder ao contato e conduzir tratativas comerciais solicitadas.
3.6 Serviços, evidências e documentos financeiros
Ordens de serviço podem conter medições, localização informada, observações, despesas, assinaturas, fotos, notas, comprovantes e outros campos configurados pela organização. O aplicativo Android só aciona a câmera após comando expresso do usuário, não realiza captura contínua ou em segundo plano e otimiza a imagem antes do envio.
Recibos, cobranças, pagamentos e obrigações podem receber uma referência aleatória e um QR Code de verificação. A consulta pública confirma apenas autenticidade, tipo, referência e situação atual; valores, partes, histórico e ações financeiras exigem autenticação, vínculo com a organização e permissão.
4. Finalidades e bases legais
| Finalidade | Exemplos de dados | Base legal possível |
|---|---|---|
| Fornecer a plataforma e executar funcionalidades solicitadas. | Conta, organização, dados operacionais e registros necessários. | Execução de contrato ou procedimentos preliminares; cumprimento de obrigação legal quando aplicável. |
| Autenticação, segurança, prevenção a fraude e proteção da plataforma. | IP, sessão, eventos de login, logs e identificadores técnicos. | Legítimo interesse, proteção do crédito quando pertinente, cumprimento de obrigação legal e exercício regular de direitos, conforme o caso. |
| Suporte e comunicação operacional. | Nome, e-mail, telefone, conteúdo da solicitação. | Execução de contrato, procedimentos preliminares ou legítimo interesse, conforme o contexto. |
| Cumprir deveres legais, regulatórios e responder a autoridades competentes. | Dados necessários ao dever específico. | Cumprimento de obrigação legal ou regulatória. |
| Consentimentos opcionais, como determinadas categorias de cookies. | Preferências de consentimento e identificadores associados. | Consentimento, quando esta for a base adequada. |
| Defesa em processos e preservação de evidências. | Registros relacionados ao fato ou controvérsia. | Exercício regular de direitos em processo judicial, administrativo ou arbitral. |
| Executar e comprovar serviços, despesas, recebimentos e pagamentos. | Medições, fotos, anexos, assinaturas, documentos financeiros e trilhas de auditoria. | Execução de contrato, cumprimento de obrigação legal ou regulatória e exercício regular de direitos, conforme o caso concreto. |
| Enviar avisos operacionais e abrir o destino correto no aplicativo. | Identificador do aparelho, categoria do aviso e rota interna protegida. | Execução do serviço e legítimo interesse, com minimização do conteúdo exibido. |
A base legal adequada deve ser analisada conforme cada tratamento concreto. O SGC não utiliza consentimento como justificativa genérica para atividades que possuam outra base legal mais apropriada.
5. Compartilhamento e subprocessadores
Dados podem ser compartilhados somente quando necessário para operação, segurança, suporte, cumprimento de obrigações ou mediante instrução válida da organização controladora. As categorias que podem ser necessárias incluem hospedagem, infraestrutura, armazenamento, envio de e-mails, monitoramento técnico, backup, autenticação e segurança.
Quando a organização conecta o Google Drive, documentos e evidências configurados para armazenamento em nuvem são enviados à conta por ela autorizada. Notificações móveis podem utilizar o Firebase Cloud Messaging, com conteúdo reduzido e rota interna que volta a exigir a sessão e as permissões do usuário.
Os fornecedores efetivamente utilizados estão sujeitos à confirmação e serão identificados na página de Subprocessadores e Fornecedores antes de qualquer atualização relevante da infraestrutura. O SGC não vende dados pessoais.
6. Transferências internacionais
Dependendo da infraestrutura e dos fornecedores contratados, dados podem ser armazenados ou processados fora do Brasil. Quando houver transferência internacional, devem ser utilizados mecanismos compatíveis com a LGPD e a regulamentação da ANPD, incluindo as salvaguardas contratuais ou instrumentos cabíveis ao caso concreto.
A organização deve verificar a região e os termos da conta Google ou de outro fornecedor que conectar. Quando caracterizada transferência internacional, o controlador deve documentar a hipótese legal, o mecanismo aplicável, as finalidades, os países de destino e as salvaguardas adotadas.
A eventual localização de tratamento fora do Brasil dependerá da infraestrutura efetivamente utilizada e será informada quando aplicável.
7. Retenção e eliminação
Os dados são mantidos somente pelo período compatível com a finalidade, obrigações legais ou contratuais, prevenção a fraude, segurança, auditoria e exercício regular de direitos. Após o término, a eliminação ou anonimização deve ocorrer quando juridicamente possível, observadas exceções legais.
- Conta e contrato:
- Suporte:
- Segurança e auditoria:
8. Segurança
O responsável pelo serviço deve adotar medidas técnicas e administrativas proporcionais aos riscos do tratamento e à natureza dos dados. A descrição pública de controles deve corresponder ao que realmente estiver implementado. Informações sobre comunicação responsável de vulnerabilidades estão na página de Segurança.
Entre os controles do SGC estão segregação por organização, permissões por função, armazenamento privado, validação de tipo e tamanho de anexos, trilhas de auditoria, operações financeiras transacionais, referências públicas não sequenciais e limitação de tentativas em rotas sensíveis. Nenhum controle elimina todos os riscos; incidentes devem ser avaliados e tratados conforme o plano aplicável.
9. Direitos do titular
Nos termos da LGPD e conforme aplicável ao caso concreto, o titular pode solicitar confirmação de tratamento, acesso, correção, anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade, portabilidade quando regulamentada e aplicável, informações sobre compartilhamento, revogação do consentimento, oposição e revisão de certas decisões automatizadas.
Quando o SGC atuar apenas como operador, a solicitação poderá precisar ser encaminhada à organização controladora responsável pelas decisões sobre o tratamento. Acesse a página Direitos do Titular para preparar uma solicitação.
A assinatura ou declaração inserida em um comprovante confirma o fato operacional ou financeiro descrito naquele documento; ela não constitui consentimento genérico para todo tratamento de dados. Quando o consentimento for efetivamente a base legal, ele será solicitado de forma específica, destacada, comprovável e poderá ser revogado por procedimento gratuito e facilitado. A revogação não invalida tratamentos anteriores nem elimina registros cuja conservação possua outra base legal.
10. Dados de crianças e adolescentes
O SGC não deve ser usado para coletar dados de crianças ou adolescentes fora de uma finalidade legítima e autorizada pela organização responsável. Caso módulos ou projetos envolvam esse público, o controlador deve avaliar as exigências específicas da LGPD, incluindo o melhor interesse e as bases jurídicas cabíveis.
11. Alterações desta Política
Esta Política pode ser atualizada quando houver mudanças relevantes na plataforma, legislação, fornecedores ou práticas de tratamento. Alterações materiais devem ser comunicadas por meio adequado antes de produzirem efeitos quando a natureza da mudança exigir aviso.
12. Responsável e contato
Responsável pelo SGC:
Natureza: pessoa física
País: Brasil
Canal de privacidade: