Política de privacidade

Que dados pessoais são tratados

• Cadastro: nome e e-mail de quem cria a conta ou é convidado. A senha é guardada apenas como hash (argon2id), e nunca em texto.
• Sessão: endereço IP e identificação do navegador, para reconhecer a sessão e encerrá-la.
• Segurança: tentativas de entrada (e-mail, IP e resultado), para limitar ataques de senha.
• Trilha de auditoria: quem registrou ciência, justificativa, envio de carteira, simulação ou exportação, com data, hora e IP. É o registro que dá valor probatório ao trabalho do regime.
• Mensagens: o endereço para onde os alertas e os relatórios são enviados.

O que não é coletado

Não coletamos CPF, documento, telefone, foto nem dado sensível de ninguém. Os arquivos públicos do CADPREV que trazem nomes de pessoas — colegiados, comitê, conselho, gestores e responsáveis — não são carregados por decisão do projeto: o produto não precisa deles.

Não há rastreamento de comportamento, publicidade, perfilamento nem conteúdo de terceiros nas páginas. O site não carrega nada de servidores de terceiros, por política de segurança.

Por que tratamos (bases legais)

• Execução do contrato (LGPD, art. 7º, V): cadastro, acesso, envio de alertas e relatórios.
• Cumprimento de obrigação legal e exercício regular de direitos (art. 7º, II e VI): a trilha de auditoria, que existe para o regime prestar contas.
• Legítimo interesse (art. 7º, IX): registros de segurança contra acesso indevido, no mínimo necessário.

Cookies

Dois, ambos necessários: o da sessão, que guarda apenas um identificador aleatório, e o de proteção contra requisições forjadas. Nenhum cookie de análise ou de publicidade. Por isso não há banner pedindo consentimento — não há o que consentir.

Com quem os dados são compartilhados

Apenas com os prestadores necessários para o serviço funcionar:

• Hospedagem do servidor e do banco de dados, em Nuremberg, na Alemanha. Os dados ficam, portanto, na União Europeia, sob o Regulamento Geral de Proteção de Dados — é uma transferência internacional, e dizê-la é o que a Lei nº 13.709/2018 exige de nós.
• Envio de e-mail, que recebe o endereço e o conteúdo da mensagem.
• Backup em armazenamento cifrado, com retenção de 7 cópias diárias, 4 semanais e 12 mensais.
• Monitoramento de erros, configurado para não receber dados pessoais: sem corpo de requisição, sem cookies e sem os parâmetros de endereço que carregam tokens.
• Modelo de linguagem, usado só para classificar manchetes públicas sobre fundos e instituições. Nenhum dado de cliente, de carteira ou de pessoa é enviado a ele.

Não vendemos nem cedemos dados pessoais a ninguém.

Por quanto tempo

• Sessões: expiram em até 7 dias, e são encerradas na troca de senha.
• Tentativas de entrada: guardadas pelo tempo necessário ao limite de tentativas.
• Cadastro: enquanto a conta existir.
• Trilha de auditoria: pelo prazo em que o regime precisa dela para prestar contas. Ela não é alterada nem apagada — inclusive quando a conta é excluída, como explicado abaixo.
• Backups: pela retenção acima; uma exclusão se propaga a eles conforme as cópias vão sendo substituídas.

Seus direitos

Você pode pedir confirmação do tratamento, acesso, correção, portabilidade e exclusão dos seus dados pessoais (LGPD, art. 18). O pedido é atendido em até 15 dias.

Uma ressalva honesta sobre a exclusão: a conta e os dados de cadastro são apagados, mas os eventos já registrados na trilha de auditoria permanecem, porque são o registro de atos praticados em nome do regime e a prova de conformidade dele perante o tribunal de contas. Nesses eventos resta a identificação interna de quem agiu, não o seu nome nem o seu e-mail.

Segurança

Tráfego cifrado, senha com hash argon2id, sessão no servidor com identificador aleatório, limite de tentativas de entrada, isolamento por organização em cada consulta de dado de cliente e backups cifrados com teste de restauração.

Contato

Para exercer seus direitos ou tirar dúvidas sobre esta política, fale com o encarregado pelo tratamento de dados pessoais pelo canal de contato do site. Esta política pode mudar; a versão vigente fica sempre nesta página, datada.