Política de Privacidade

1. Quem somos

SMN Tecnologia da Informação é o controlador de dados pessoais tratados no Polaris ERP (este sistema). Atuamos conforme a Lei nº 13.709/2018 (LGPD) e respondemos pelas decisões de tratamento.

• CNPJ: 09.557.239/0001-31
• Endereço: Rua Joao da Silva Ranhel, 1720 - Nucleo Agricola Alpha, Franca - SP, CEP 14403-175

2. Quais dados tratamos

O Polaris trata as seguintes categorias de dados pessoais de seus usuários:

• Cadastrais: nome completo, e-mail, perfil de acesso (grupo), foto de avatar (quando aplicável)
• Credenciais: hash de senha (algoritmo unidirecional; senha em texto plano nunca é armazenada)
• Comportamentais: data e hora do último login, contagem de tentativas falhas, IP de origem, navegador (User-Agent), identificador de sessão ativa
• Auditoria: registro de ações realizadas no sistema (criar, editar, excluir, acessar), incluindo timestamp, IP e detalhes contextuais
• Operacionais (módulo Follow-up): tarefas criadas, descrições de atividades, anexos enviados, comentários de acompanhamento
• Operacionais (módulo IA): histórico de sessões de chat com o assistente virtual, conteúdo de mensagens trocadas, métricas de uso, feedback fornecido

Os textos livres (descrições de tarefas, mensagens do chat IA) podem incluir, eventualmente, informações inseridas pelo próprio usuário. Pedimos que você não inclua dados pessoais sensíveis (Art. 5º, II LGPD — origem racial, convicção religiosa, opinião política, saúde, vida sexual, biométrico, genético) nesses campos.

3. Por que tratamos esses dados (bases legais)

Cada tratamento tem uma base legal definida no Art. 7º LGPD:

• Execução de contrato (Art. 7º, V): autenticação, autorização, funcionalidades do ERP (Follow-up, Assistente IA, gestão de usuários e permissões)
• Cumprimento de obrigação legal (Art. 7º, II): retenção de logs de aplicação conforme Marco Civil da Internet (Art. 15 — mínimo 6 meses) e legislação fiscal/trabalhista aplicável
• Legítimo interesse (Art. 7º, IX): segurança da plataforma (rate-limit, lockout, auditoria), prevenção a fraude, melhoria contínua do produto

4. Com quem compartilhamos

Para operar o Polaris, contratamos prestadores de serviço (operadores na linguagem do Art. 5º, VII LGPD):

• Microsoft Corporation (Azure App Service, PostgreSQL, Blob Storage, Application Insights, Key Vault, Microsoft Graph) — hospedagem, banco de dados, anexos, telemetria, segredos e envio de e-mail. Operação em data centers nos Estados Unidos da América.
• Anthropic, PBC (Claude API) — geração de respostas do assistente virtual. Operação nos Estados Unidos.
• OpenAI, L.L.C. (Embeddings API) — geração de representações vetoriais para busca semântica do assistente. Operação nos Estados Unidos.
• Provedores de CDN (jsDelivr, Cloudflare, Google Fonts) — entrega de bibliotecas estáticas (UIkit, Sortable, fonte Inter) ao navegador.

Transferência internacional (Art. 33 LGPD): os tratamentos acima envolvem transferência de dados para os Estados Unidos. Como a Autoridade Nacional de Proteção de Dados (ANPD) ainda não publicou lista de países com decisão de adequação, a SMN utiliza a hipótese II do Art. 33 (cláusulas-padrão contratuais aprovadas pela Resolução CD/ANPD nº 19/2024) e os Data Processing Addenda específicos de cada operador.

5. Por quanto tempo guardamos

A SMN adota política unificada de retenção de 10 (dez) anos contados a partir do evento de encerramento aplicável (desativação do usuário, alteração registrada em histórico, criação ou data de expiração explícita do documento). O prazo é alinhado ao Código Civil Art. 205 (prescrição decenal residual) e atende, com folga, os prazos setoriais aplicáveis (Marco Civil Art. 15 — mínimo 6 meses para logs de acesso; legislação fiscal e trabalhista).

• Cadastro do usuário: enquanto durar a relação contratual; após desativação, o registro é anonimizado automaticamente ao completar 10 anos (Art. 5º, III LGPD — desvincular do titular preservando referência técnica para integridade histórica de auditoria).
• Histórico de alterações (tarefas, acompanhamentos, documentos): eliminação automática ao completar 10 anos da alteração registrada.
• Documentos anexos: eliminação automática (DB + Azure Blob Storage) ao completar 10 anos da criação, salvo quando o documento define data de expiração explícita anterior (ex.: contrato com validade definida).
• Logs de auditoria: retenção configurável por tipo de evento — padrão de 6 meses (mínimo legal do Marco Civil da Internet, Art. 15) a 5 anos para eventos críticos (login, alteração de permissão, exclusão de dados). Eventos de exercício de direitos LGPD (oposição, eliminação, revisão de decisão automatizada, recibos de retenção Art. 19 §1º) são preservados por prazo igual ou superior ao da prova do tratamento original.
• Notificações in-app: 30 dias se não lidas (soft delete) / 90 dias se lidas (hard delete) — purga automática.
• Sessões e mensagens do assistente IA: enquanto o usuário não solicitar exclusão; sujeitas à mesma política de 10 anos para registros não eliminados antes pelo titular.

A eliminação antecipada de dados sob seu controle pode ser solicitada via auto-serviço Minha conta → Eliminação de dados (após login) , respeitada a retenção obrigatória por lei (Art. 16 LGPD).

6. Tratamentos opcionais (passíveis de oposição)

Operamos sob legítimo interesse (Art. 7º, IX) os seguintes tratamentos acessórios à finalidade contratual do assistente IA. Você pode se opor a qualquer um deles a qualquer momento via auto-serviço autenticado em Minha conta → Minhas preferências de privacidade (após login) , ou diretamente pelo Encarregado (DPO). A oposição interrompe gravações futuras; dados já armazenados permanecem até o prazo de retenção e podem ser eliminados separadamente pelo direito do Art. 18, IV.

• Métricas de uso do assistente IA (código AI_METRICAS): contadores por usuário (tokens, latência, sucesso/erro de tools) para diagnóstico interno e dimensionamento de capacidade. Sem este tratamento, agregados anônimos do produto permanecem ativos.
• Registro automático de perguntas pendentes (código AI_PERGUNTAS_PENDENTES): quando o assistente não encontra contexto suficiente na base de conhecimento, sua pergunta é arquivada para curadoria editorial subsequente. Sem este tratamento, o assistente responderá "não tenho informação suficiente" sem registrar a lacuna.
• Geração automática de título para sessão de chat (código AI_TITULO_AUTOMATICO): chamada acessória ao LLM para derivar título legível da conversa. Sem este tratamento, o título é gerado por fallback textual local a partir das primeiras palavras da mensagem inicial — não há chamada extra ao operador externo.

A propagação da oposição entre instâncias do servidor leva até 1 minuto. Oposição às métricas/título/perguntas pendentes não interrompe a operação principal do assistente (resposta à sua mensagem), que é parte do serviço contratado (Art. 7º, V).

7. Seus direitos como titular

A LGPD garante a você (Art. 18, 20 e 21):

• Confirmação e acesso: saber se tratamos seus dados e obter cópia consolidada (Art. 18, I e II)
• Correção: solicitar a retificação de dados incorretos, incompletos ou desatualizados (Art. 18, III)
• Anonimização, bloqueio ou eliminação: solicitar a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD (Art. 18, IV)
• Portabilidade: receber seus dados em formato estruturado e legível por máquina (Art. 18, V)
• Eliminação: pedir a eliminação dos dados tratados com seu consentimento, respeitada a retenção obrigatória por lei (Art. 18, VI; Art. 16)
• Informação sobre compartilhamento: saber com quais operadores seus dados foram compartilhados (Art. 18, VII)
• Revisão de decisão automatizada: solicitar revisão humana de decisões tomadas exclusivamente por tratamento automatizado que afetem seus interesses (Art. 20)
• Oposição: opor-se a tratamento baseado em legítimo interesse, quando descumprida a LGPD ou em desacordo com sua expectativa razoável (Art. 21)

Para exercer qualquer um desses direitos, use o formulário guiado abaixo ou escreva diretamente para o Encarregado (DPO) — endereço destacado no topo desta página. Responderemos em até 15 dias.

8. Formulário de solicitação

Preencha os campos abaixo para enviar uma solicitação formal ao Encarregado. O conteúdo é entregue por e-mail estruturado ao DPO (ricardo@smn.com.br), e você receberá resposta no e-mail informado dentro de até 15 dias.

9. Segurança

O Polaris adota controles técnicos e organizacionais para proteger seus dados (Art. 46 LGPD): autenticação por senha com hash unidirecional (bcrypt), JWT de curta duração com revogação ativa, rate-limit e lockout de IP, logs de auditoria com retenção controlada, comunicações cifradas em trânsito (TLS) e em repouso (AES-256 nos serviços Azure). Em caso de incidente de segurança envolvendo dados pessoais, notificaremos a ANPD e os titulares afetados conforme Art. 48 LGPD.

10. Cookies e tecnologias similares

O Polaris utiliza cookies estritamente necessários para autenticação (cookie de sessão e antiforgery token). Não utilizamos cookies de marketing, analytics de terceiros ou rastreadores publicitários.

11. Alterações nesta Política

Esta política pode ser atualizada a qualquer momento. Mudanças materiais serão comunicadas aos usuários por e-mail ou via aviso no sistema. A data da última revisão está no início desta página.

12. Reclamações à ANPD

Se entender que seu direito não foi atendido, você pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD): www.gov.br/anpd.