Política de Privacidade

1. Dois papéis diferentes

• Quando você usa o sistema (login, equipe, notificações), a J&G é a controladora dos seus dados de acesso.
• Quando a empresa cliente cadastra clientes, fornecedores, funcionários, notas e lançamentos, a empresa cliente é a controladora e a J&G é operadora: tratamos esses dados só para prestar o serviço e seguindo as instruções da empresa.
• Se você é cliente, fornecedor ou funcionário de uma empresa que usa o Gestor+ e quer exercer seus direitos, o caminho principal é falar com ela. Nós ajudamos (item 8).

2. Quais dados tratamos e para quê

• Nome, e-mail, senha (guardada de forma irreversível), papel e módulos: criar e manter o acesso. Base legal: execução de contrato.
• Data do último acesso e tentativas de login: segurança da conta e gestão da equipe. Base legal: legítimo interesse.
• Registros de acesso (endereço IP, data e hora): cumprir o Marco Civil da Internet. Base legal: obrigação legal.
• Inscrição para notificações no celular: enviar avisos. Base legal: consentimento.
• Dados da empresa contratante para a assinatura (nome ou razão social, CNPJ ou CPF, e-mail e telefone): emitir as cobranças pelo serviço de pagamentos. Os dados do cartão ou da conta são digitados na página do próprio serviço de pagamentos e não passam pelo Gestor+. Base legal: execução de contrato.
• Certificado digital A1 e sua senha, para quem usa o módulo de Notas Fiscais: assinar notas fiscais em nome da empresa. Ficam criptografados e só o servidor os abre; podem ser removidos pelo administrador a qualquer momento. Base legal: execução de contrato.
• Planilhas enviadas para a migração de dados: ficam num espaço privado e são apagadas 30 dias depois da conclusão.
• Histórico de alterações (quem fez o quê e quando): segurança e transparência dentro da empresa. Base legal: legítimo interesse.
• Cadastros feitos pela empresa cliente (nome, CPF/CNPJ, contatos, endereço, cargo e salário de funcionários, notas fiscais, lançamentos): a finalidade e a base legal são definidas pela empresa cliente.
• Não pedimos dados pessoais sensíveis (saúde, biometria, religião e similares). Pedimos às empresas que não os registrem nos campos livres.

3. Com quem compartilhamos

Usamos fornecedores para manter o sistema no ar. Eles só recebem o necessário e têm obrigações contratuais:

• Supabase: banco de dados, autenticação e arquivos (servidores em São Paulo, Brasil).
• Vercel: hospedagem do aplicativo (Estados Unidos).
• Resend: envio dos e-mails do sistema, como recuperação de senha e convite, e, quando a empresa cliente pede, da nota fiscal e dos boletos ao comprador dela, com os dados que constam na nota (Estados Unidos).
• Sentry: monitoramento de erros técnicos, sem dados pessoais (pode ser desativado).
• Serviços de notificação dos navegadores (Google, Apple, Mozilla), apenas para quem ativa notificações.
• Asaas: emissão e cobrança das assinaturas por Pix, boleto ou cartão (Brasil). Recebe nome ou razão social, CNPJ ou CPF, e-mail e telefone da empresa contratante.
• Anthropic (Claude): inteligência artificial que ajuda a entender a estrutura das planilhas na migração de dados e a corrigir a migração quando o cliente contesta (Estados Unidos). Recebe só o formato das colunas, com exemplos descaracterizados (letras e números trocados), e o texto da contestação do cliente. Não recebe nomes, documentos ou valores reais.
• SEFAZ (autoridade fiscal): quando a empresa emite nota fiscal pelo sistema, os dados da nota são enviados à SEFAZ, por obrigação legal.
• Consultas públicas de CEP (ViaCEP) e de CNPJ (BrasilAPI), quando você pede o preenchimento automático.

4. Não vendemos dados

Não vendemos dados e não os usamos para publicidade. Podemos compartilhar dados com autoridades quando a lei obrigar.

5. Transferência para fora do Brasil

Alguns fornecedores acima processam dados fora do Brasil, principalmente nos Estados Unidos. Isso é feito com contratos que trazem proteção compatível com a LGPD (art. 33) e apenas para o que é necessário ao serviço.

6. Por quanto tempo guardamos

• Dados de acesso: enquanto a conta existir; ao remover a pessoa da equipe, o acesso é apagado.
• Registros de acesso (IP e hora): 6 meses.
• Registros apagados no sistema: 90 dias na lixeira.
• Histórico de alterações: 5 anos.
• Dados da empresa cliente após o fim do contrato: entregamos a exportação em até 30 dias e apagamos do sistema em até 90 dias e das cópias de segurança em até 180 dias, salvo obrigação legal.

7. Como protegemos

Cada empresa só acessa os próprios dados; conexão criptografada (HTTPS); senhas fortes e bloqueio de tentativas; permissões por pessoa; histórico de alterações; cópias de segurança; e testes automáticos de segurança.

Nenhum sistema é totalmente seguro. Em caso de incidente que possa causar risco relevante, avisamos as empresas afetadas e a ANPD nos prazos legais.

8. Seus direitos

Você pode pedir confirmação de que tratamos seus dados, acesso, correção, anonimização, bloqueio ou eliminação de dados desnecessários, portabilidade, informação sobre com quem compartilhamos e revogação do consentimento (por exemplo, desativar notificações).

Dados de acesso ao sistema: peça a nós. Dados cadastrados por uma empresa cliente: peça primeiro a essa empresa; se nos procurar, encaminhamos a ela e ajudamos a atender. Respondemos em até 15 dias. Alguns dados não podem ser apagados enquanto houver obrigação legal de guarda.

9. Cookies

Usamos apenas cookies essenciais (manter você conectado) e a preferência de tema claro ou escuro no seu navegador. Não usamos cookies de publicidade nem de rastreamento.

10. Contato e encarregado

Fale com o encarregado pelo tratamento de dados pessoais da J&G pelo e-mail privacidade@gestormais.api.br.

Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

11. Mudanças

Podemos atualizar esta política. A versão vigente fica sempre nesta página, com a data. Mudanças relevantes serão avisadas no sistema.