Política de privacidade

O controlador dos dados tratados aqui é Nakle Renato Wunderlich Filho, CNPJ nº 69.225.820/0001-88, responsável pelo serviço SuaTag e pelo endereço suatag.com.

Pedido de titular, dúvida ou reclamação sobre privacidade chega em [email protected], que é o canal oficial e é lido por pessoa.

É quem tem conta e entra em suatag.com para criar páginas, atribuir cartões e acompanhar os números. Dessa pessoa ficam guardados:

• nome e e-mail, informados no cadastro;
• a senha, guardada como impressão digital calculada por Argon2id. A senha em si não é armazenada em lugar nenhum e não pode ser lida de volta a partir do que fica no banco;
• a foto de perfil, se enviada;
• quando ligada, a verificação em duas etapas: o segredo do aplicativo autenticador, guardado cifrado, e os códigos de recuperação, guardados como impressão digital;
• as sessões abertas: data, aparelho declarado pelo navegador e o endereço de rede em forma de impressão digital, para você reconhecer e encerrar um acesso que não é seu;
• um registro das ações feitas no painel (criar perfil, atribuir cartão, gerar lote), com data e autor;
• se a entrada foi pelo Google, o identificador da conta no provedor e o e-mail que ele devolve.

Por que podemos tratar: execução do contrato, na forma do artigo 7º, inciso V, da LGPD. São os dados sem os quais a conta não existe. O registro de ações e as sessões existem por legítimo interesse em segurança (inciso IX), para que um acesso indevido possa ser percebido e desfeito.

Por quanto tempo: enquanto a conta existir. Encerrada a conta, os dados saem em até 30 dias, com exceção do que precisar ficar por obrigação legal.

A página pública mostra o que o próprio negócio pediu para publicar: nome, ramo, cidade e estado, um resumo, logo, capa, fotos e os botões, que podem conter telefone, WhatsApp, perfis de rede social, endereço, cardápio, chave Pix e senha do wi-fi.

Esse conteúdo é público por definição: a página inteira existe para ser aberta por qualquer pessoa que aproxime o celular do cartão ou digite o endereço. Tudo o que for colocado ali fica visível para quem tiver o endereço, e a decisão sobre o que entra é de quem contrata.

Por que podemos tratar: execução do contrato de prestação do serviço.

Por quanto tempo: enquanto a página estiver no ar. Apagada a página, o conteúdo dela sai do banco junto, e os cartões que apontavam para ela passam a mostrar a tela de cartão ainda não ativado.

Quem visita uma página do SuaTag não cria conta, não faz login e não precisa informar nada. Da visita ficam guardados apenas quatro dados, e o que eles servem é responder ao dono do negócio se o cartão está sendo usado:

• a data e a hora da aproximação ou do toque em um botão;
• o endereço de rede em forma de impressão digital, usado para contar a mesma pessoa uma vez só e descartar repetição automática. O endereço original não é gravado;
• o tipo de aparelho (celular, computador), o sistema e o navegador, na forma genérica que o próprio navegador anuncia;
• qual cartão foi aproximado e qual botão foi tocado.

A página pública funciona sem cookie e sem identificador de pessoa. O que sai do banco para o painel do cliente é sempre contagem, nunca lista de visitantes, e não existe forma de saber quem visitou a partir do que é guardado aqui.

Por que podemos tratar: legítimo interesse (artigo 7º, inciso IX), em medida mínima. O dono do negócio precisa saber se o cartão que ele pagou funciona, e a contagem responde isso com o menor dado possível.

Por quanto tempo: as linhas de medição são apagadas automaticamente pela manutenção diária depois de 400 dias, para a comparação com o mesmo mês do ano anterior continuar possível.

O painel usa um cookie de sessão, que é o que mantém você logado depois de entrar. Ele é necessário para o serviço funcionar e por isso não depende de consentimento.

A página pública do cliente abre sem cookie nenhum. É por isso que ela não mostra aviso de cookies: não há escolha a fazer.

Para o serviço existir, algumas empresas processam dados por nossa conta e seguindo nossas instruções:

• Contabo: o servidor onde o sistema e o banco de dados rodam.
• Cloudflare: a rede que entrega o site, protege contra ataque e guarda as imagens enviadas.
• Resend: o envio dos e-mails do sistema, como confirmação de endereço e recuperação de acesso.
• Google: apenas quando a pessoa escolhe entrar com a conta Google, e no envio de notificação para quem ligou os avisos no navegador.

Os dados são usados para entregar o serviço contratado, e é o único uso que eles têm. Nenhum deles é vendido, cedido ou compartilhado para publicidade.

O servidor do SuaTag fica nos Estados Unidos, e as cópias de segurança são guardadas em armazenamento da Cloudflare, também fora do Brasil. Isso configura transferência internacional de dados, permitida pelo artigo 33, inciso IX, da LGPD, por ser necessária para a execução do contrato.

O trajeto entre o seu navegador e o servidor é cifrado de ponta a ponta. As cópias de segurança são guardadas por até 90 dias e conferidas por impressão digital, para que um arquivo alterado seja percebido.

A LGPD, no artigo 18, garante a você o direito de pedir confirmação de que tratamos seus dados, acesso a eles, correção do que estiver errado ou desatualizado, anonimização, bloqueio ou eliminação do que for desnecessário, portabilidade, informação sobre com quem compartilhamos, e revisão de decisão automatizada.

Para exercer qualquer um deles, escreva para [email protected]. A resposta sai em até 15 dias. Podemos pedir uma confirmação de que você é mesmo o titular antes de entregar dado ou apagar alguma coisa, justamente para proteger você de alguém que se passe por você.

Você também pode reclamar diretamente à Autoridade Nacional de Proteção de Dados, a ANPD, em gov.br/anpd.

O que é feito hoje, em termos simples: a senha é guardada como impressão digital Argon2id, e conferida contra listas públicas de senhas vazadas no momento do cadastro; a conexão é cifrada de ponta a ponta; a verificação em duas etapas está disponível para qualquer conta; cada colaborador enxerga apenas os perfis que ele mesmo criou; tentativas de adivinhar senha sofrem atraso progressivo e limite por endereço; o banco tem cópia de segurança de hora em hora, com uma cópia fora do servidor; e toda ação relevante no painel fica registrada com data e autor.

Nenhum sistema é imune. Se acontecer um incidente de segurança com risco relevante aos titulares, a comunicação à ANPD e às pessoas afetadas é feita, como manda o artigo 48 da LGPD.

O SuaTag é uma ferramenta de trabalho, feita para quem tem um negócio ou uma atividade profissional. Contas são criadas por convite, para pessoas maiores de 18 anos.

Quando esta política mudar, a data de vigência no topo muda junto, e quem tem conta encontra o texto novo para aceitar na entrada seguinte no painel. Mudança que altere de forma relevante o que é coletado ou por quê também é avisada por e-mail.

O CNPJ 69.225.820/0001-88 responde pelo tratamento descrito aqui desde a data de vigência informada no topo desta página.