Minuta — não é o texto definitivo

Este documento foi redigido a partir do levantamento técnico dos dados que o sistema efetivamente trata, para servir de base à revisão jurídica. Ainda não foi revisado por advogado e não deve ser considerado válido perante a LGPD até que seja. Os trechos marcados como [A DEFINIR] dependem de decisão da Verne Tecnologia.

Política de Privacidade

Última atualização: [A DEFINIR] — versão de minuta

1. Quem trata os seus dados

O Vernier é um sistema de gestão fornecido pela Verne Tecnologia às oficinas mecânicas que o contratam. Isso cria duas relações distintas:

  • Dados da oficina contratante (razão social, CNPJ, endereço, e dados das pessoas que acessam o sistema): a Verne Tecnologia é a controladora, pois decide as finalidades e os meios do tratamento.
  • Dados dos clientes da oficina (quem leva o veículo para atendimento): a oficina é a controladora e a Verne Tecnologia atua como operadora, tratando esses dados apenas conforme as instruções da oficina e para a prestação do serviço.

Na prática: se você é cliente de uma oficina e quer exercer seus direitos sobre os seus dados, o pedido deve ser dirigido à oficina onde foi atendido. A Verne Tecnologia dá suporte técnico a esse atendimento.

2. Quais dados são tratados

Dos clientes das oficinas

  • Nome, telefone e, quando informados, e-mail e endereço completo
  • CPF ou CNPJ, quando informado
  • Placa e dados do veículo
  • Histórico de agendamentos, ordens de serviço, orçamentos e pagamentos
  • Fotos do veículo e assinatura manuscrita capturada em tela, quando o atendimento as exigir
  • Mensagens de WhatsApp enviadas pelo sistema e o registro do seu envio
  • Códigos temporários de acesso ao portal do cliente

Das pessoas que operam o sistema

  • Nome, e-mail e função exercida na oficina
  • Senha, armazenada apenas como resumo criptográfico — nunca em texto legível
  • Registro de ações relevantes realizadas no sistema

De quem apenas visita as páginas públicas

  • Endereço IP e sinais de comportamento de navegação, coletados pela proteção anti-robô (ver item 4)

3. Para que servem e com que fundamento

Os dados são usados para agendar e executar serviços, emitir orçamentos, controlar estoque e pagamentos, comunicar o andamento do atendimento e permitir que o cliente acompanhe seu veículo pelo portal.

[A DEFINIR — revisão jurídica] As bases legais aplicáveis a cada finalidade precisam ser definidas formalmente. A avaliação preliminar aponta para execução de contrato (art. 7º, V), cumprimento de obrigação legal e fiscal (art. 7º, II) e legítimo interesse para segurança e prevenção a fraude (art. 7º, IX), mas essa qualificação deve ser confirmada por advogado.

4. Compartilhamento e transferência internacional

Cloudflare (Estados Unidos). Os formulários públicos de agendamento e de acesso do cliente usam o serviço Turnstile para distinguir pessoas de robôs. Esse serviço recebe o endereço IP do visitante e sinais de comportamento de navegação, o que configura transferência internacional de dados pessoais. A finalidade é segurança e prevenção a fraude e abuso.

WhatsApp / Meta. As comunicações com o cliente (confirmação de agendamento, lembretes, aviso de orçamento e de entrega) trafegam pela plataforma WhatsApp e ficam sujeitas às políticas da Meta, que é responsável pelo tratamento nessa etapa.

Os dados não são vendidos nem cedidos para fins de publicidade de terceiros. [A DEFINIR] Havendo outros fornecedores (pagamentos, nota fiscal, hospedagem), devem ser listados aqui.

5. Por quanto tempo são guardados

[A DEFINIR — revisão jurídica] Os prazos de retenção ainda não estão definidos. É necessário fixá-los por categoria de dado, conciliando o interesse do titular com prazos legais de guarda fiscal e contábil, e prever o descarte ou a anonimização ao fim de cada prazo.

6. Direitos do titular

A LGPD (art. 18) assegura a você, entre outros, o direito de confirmar a existência do tratamento, acessar seus dados, corrigir dados incompletos ou desatualizados, solicitar anonimização, bloqueio ou eliminação, obter informação sobre compartilhamentos, e revogar consentimento quando for essa a base legal.

[A DEFINIR] O canal de atendimento a esses pedidos e o prazo de resposta ainda precisam ser definidos e divulgados. Nota técnica: o sistema ainda não possui função automatizada de exportação ou exclusão de dados a pedido do titular — hoje o atendimento seria manual, o que precisa ser considerado na definição do processo.

7. Segurança

O sistema aplica isolamento entre oficinas no próprio banco de dados, de modo que uma oficina não alcança os dados de outra; tráfego cifrado por HTTPS; senhas armazenadas apenas como resumo criptográfico; controle de acesso por função; proteção contra requisições forjadas e contra tentativas automatizadas de acesso; e rotina diária de cópia de segurança.

Nenhuma medida elimina integralmente o risco. Em caso de incidente de segurança relevante, a comunicação aos titulares e à Autoridade Nacional de Proteção de Dados seguirá o previsto na LGPD.

8. Encarregado pelo tratamento de dados

[A DEFINIR — obrigatório, LGPD art. 41] A Verne Tecnologia deve indicar o encarregado (DPO) e divulgar aqui seu nome e canal de contato.

9. Alterações desta política

Esta política pode ser atualizada. Alterações relevantes serão comunicadas pelos canais de contato cadastrados, e a data de atualização acima será revista.