Política de Privacidade do Negociu

RASCUNHO. Não publicar sem revisão de advogado. Os campos entre [colchetes] dependem de informação que só o responsável tem ou de decisão jurídica. Descreve o que o produto faz hoje, com base na LGPD (Lei 13.709/2018); não é parecer jurídico.

Última atualização: [data]

1. Quem é o controlador

[Nome completo], pessoa física, e-mail [e-mail de contato para privacidade]. [Quando houver CNPJ, atualizar.] Canal para exercer seus direitos: [e-mail]. [Encarregado: avaliar com o advogado a dispensa prevista para agentes de tratamento de pequeno porte; mesmo assim manter canal de contato.]

2. Dados que tratamos

• Conta: e-mail e senha. A senha fica guardada de forma protegida; nós não conseguimos lê-la.
• Empresa: CNPJ, razão social, nome fantasia, município, endereço, atividade principal registrada na Receita (CNAE), categorias e, para fornecedores, subcategorias, municípios atendidos, descrição do que vendem e pedido mínimo. Parte vem de consulta pública de CNPJ.
• Contato: telefone (opcional) e e-mail de contato da empresa. No cadastro, o telefone pode vir pré-preenchido da consulta pública de CNPJ; você confere, corrige ou apaga antes de enviar.
• Uso: cotações, respostas, resultado ("fechei" / "não fechei"), liberação de contato, denúncias e o registro dos avisos que enviamos (para não enviar o mesmo aviso duas vezes).
• Aceite: data e hora em que você aceitou os Termos e esta Política, a versão aceita e se você marcou, em separado, receber novidades opcionais.
• Origem do cadastro: de qual mensagem ou convite você veio.
• Fale conosco: nome, e-mail e mensagem de quem escreve, mesmo que não seja usuário.
• Contestação de CNPJ: nome, e-mail, CNPJ e mensagem de quem contesta um cadastro, mesmo que não seja usuário.
• Registros de acesso: o Negociu não grava o seu IP no banco de dados, com uma exceção: ao buscar um CNPJ no cadastro, guardamos por até 1 dia um código calculado a partir do seu IP, só para limitar consultas em excesso. A hospedagem (Vercel) e o banco de dados (Supabase) mantêm registros técnicos de acesso, nos termos deles. [Confirmar com o advogado o enquadramento no art. 15 do Marco Civil.]

3. Para que usamos e em que base legal

Finalidade	Base legal (LGPD, art. 7º)
Criar e manter sua conta, entregar cotações e respostas, liberar contatos	Execução de contrato (V)
Avisos do serviço (nova cotação, proposta recebida, lembretes)	Execução de contrato (V)
Segurança, prevenção a fraudes e abusos (inclui o limite de consultas de CNPJ no cadastro), moderação e registros de acesso	Legítimo interesse (IX); obrigação legal quando aplicável (II)
Responder mensagens do Fale conosco e analisar contestações de CNPJ	Atender pedido do próprio titular (V) e legítimo interesse (IX)
Medir o funcionamento do serviço	Legítimo interesse (IX)
Primeiro contato de captação por e-mail com empresas que ainda não são usuárias	Legítimo interesse (IX), com avaliação documentada (teste de balanceamento)
Manter a lista de pessoas que pediram para não receber captação	Legítimo interesse (IX), para respeitar a sua escolha
Novidades e comunicações opcionais	Consentimento (I), separado do cadastro

4. Com quem compartilhamos

• Outros usuários, só nas situações do produto: o contato do fornecedor ao comprador junto da resposta; o contato do comprador a um fornecedor apenas quando o comprador clica em "Quero falar com este fornecedor". O diretório de empresas, visível apenas a usuários cadastrados, não mostra telefone nem e-mail.
• Prestadores (operadores): hospedagem (Vercel), banco de dados e login (Supabase), envio de e-mail (Resend), consulta pública de CNPJ (BrasilAPI) e consulta de endereço (OpenStreetMap/Nominatim). Alguns ficam fora do Brasil; a transferência segue a LGPD e usa cláusulas dos contratos desses prestadores [confirmar com o advogado].
• Não vendemos dados.

5. Captação por e-mail

Quando entramos em contato com uma empresa que não é usuária, o e-mail diz quem somos, de onde veio o contato (fonte pública ou indicação), por que o enviamos e traz um link para sair da lista. Ao abrir o link, uma página pede uma confirmação (um botão); depois dela, você não recebe mais mensagens de captação e o seu e-mail entra numa lista de supressão.

6. Quanto tempo guardamos

• Conta: enquanto ela existir.
• Ao excluir a conta: nome, e-mail, telefone, endereço, localização e descrição da empresa são apagados ou anonimizados, o CNPJ é trocado por um número sem relação com a empresa, e o login é removido. Cotações e respostas passadas permanecem sem identificar a empresa, para histórico e métricas. O texto livre dessas cotações e respostas não é apagado. Esses textos não devem conter telefone, e-mail ou link (há uma verificação automática, que não é infalível).
• Lista de supressão: o e-mail de quem saiu da lista de captação ou excluiu a conta fica guardado, sem prazo, apenas para não voltarmos a escrever para ele.
• Fale conosco: as mensagens são apagadas automaticamente 12 meses depois de recebidas.
• Contestações de CNPJ: enquanto estiverem em análise; depois de resolvidas, são apagadas automaticamente em 12 meses. [Prazos propostos; confirmar com o advogado.]
• Código de limite de consultas de CNPJ: até 1 dia, apagado automaticamente.
• Registros de acesso: conforme os prestadores de hospedagem e banco de dados [prazo a confirmar; ver Marco Civil, art. 15].
• Denúncias e registros de moderação: [definir com o advogado].

7. Seus direitos

Confirmação de tratamento, acesso, correção, anonimização, bloqueio ou eliminação, portabilidade, informação sobre compartilhamento e revogação do consentimento (LGPD, art. 18). Peça pelo e-mail [e-mail]. Respondemos em até 15 dias [confirmar com o advogado]. Você também pode excluir a conta sozinho em "Meu perfil".

8. Cookies e métricas

Usamos apenas cookies essenciais (sessão de login). Hoje não usamos ferramenta de métricas; se passarmos a usar, será uma que não usa cookies de rastreamento nem rastreadores de terceiros, e esta Política será atualizada citando a ferramenta.

9. Segurança

Medidas técnicas e organizacionais proporcionais, incluindo acesso restrito por regras no banco de dados. Em caso de incidente relevante, avisaremos os afetados e a autoridade, conforme a lei.

10. Alterações

Mudanças relevantes serão avisadas por e-mail.