Aviso de Privacidade

Vigência: 28 de agosto de 2026 · Versão 2026-08-28.1

Este aviso explica quais dados são tratados, para quais finalidades, com quem podem ser compartilhados e como exercer direitos. A CandTech adota minimização, não vende dados pessoais e não solicita CPF no cadastro ou na identificação do Pix.

1. Papéis na LGPD

A CandTech é controladora dos dados de cadastro, contratação, segurança e relacionamento. Para dados de clientes, colaboradores e fornecedores inseridos pelo comércio no ERP, o comércio normalmente é o controlador e a CandTech atua como operadora, conforme suas instruções e a lei.

2. Dados tratados

• cadastro: nome, e-mail, tipo de conta, hash de senha, confirmação do e-mail, configuração de segundo fator cifrada e aceites jurídicos;
• contratação por Pix: nome e e-mail da conta, referência da cobrança, valor, prazo, estado da conferência e comprovante enviado; a CandTech não solicita CPF, telefone, endereço, senha ou credenciais bancárias para o pagamento;
• uso do ERP: conteúdo financeiro, estoque, pedidos, equipe, relatórios, histórico e arquivos inseridos pelo usuário;
• atendimento e segurança: mensagens de suporte, sessão, IP ou hash de IP e informações técnicas necessárias para prevenir fraude e abuso, autorizar acessos, auditar ações e responder a incidentes;
• integrações: tokens cifrados do Google Drive quando a conexão é autorizada e dados de navegação do Google Analytics somente após consentimento.

3. Finalidades e bases legais

Tratamos dados para criar e autenticar contas, executar o contrato, salvar e exportar conteúdo, conferir pagamentos, atender solicitações, proteger o serviço, cumprir obrigações legais, exercer direitos e melhorar estabilidade. Conforme o caso, as bases são procedimentos preliminares e execução de contrato, obrigação legal ou regulatória, exercício regular de direitos, legítimo interesse após avaliação de necessidade e impacto, e consentimento para análise opcional.

O Google Analytics não é necessário para usar a CandTech. O consentimento pode ser recusado ou revogado sem perda de funcionalidade.

4. Fornecedores, compartilhamento e não comercialização

A CandTech não vende, aluga, troca ou comercializa dados pessoais, conteúdo do ERP ou dados de pagamento. Google Analytics é uma ferramenta de medição contratada para entender o uso do site; não é um comprador de dados.

• Vercel: hospedagem, funções, rede e armazenamento privado de arquivos;
• Neon: banco de dados PostgreSQL;
• Resend: envio de mensagens transacionais, como confirmação de e-mail e recuperação de senha;
• Google Drive: exportação opcional iniciada e autorizada pela pessoa usuária;
• Google Analytics: páginas visitadas, origem aproximada, dispositivo e eventos mínimos de navegação, somente após aceite. Não enviamos nome, e-mail, tipo de conta, valores, dados de pagamento ou conteúdo do ERP.

Também poderá haver compartilhamento por obrigação legal, ordem válida ou proteção de direitos. Prestadores recebem somente o necessário à finalidade contratada. Ativar publicidade personalizada, Google Signals, vinculação com plataformas de anúncios, enriquecimento de perfis ou qualquer monetização de dados exigirá avaliação prévia, base legal adequada, atualização deste aviso e novo consentimento quando aplicável; essas finalidades não estão autorizadas pelo consentimento atual.

5. Transferência internacional

Alguns fornecedores podem armazenar ou acessar dados fora do Brasil. A CandTech deve verificar a localização aplicável, as medidas de segurança e um mecanismo válido de transferência internacional previsto na LGPD e regulamentado pela ANPD, inclusive cláusulas-padrão contratuais quando cabíveis. A região do banco e a configuração dos fornecedores são revisadas antes de alterações materiais.

6. Retenção e eliminação

Dados permanecem enquanto a conta estiver ativa e, depois, somente pelo período necessário à prestação, cumprimento de obrigação, prevenção de fraude ou exercício de direitos. Tokens de confirmação expiram em 24 horas, redefinição em 30 minutos e sessões normais em 8 horas. Registros de incidentes com dados pessoais são preservados por pelo menos cinco anos. A retenção analítica segue a configuração da propriedade do Google Analytics e deve usar o menor período compatível com a medição. Após solicitação ou encerramento, os dados são eliminados ou anonimizados quando não houver base legítima de retenção; cópias de segurança seguem seu ciclo técnico e ficam protegidas contra uso comum.

7. Direitos

O titular pode pedir confirmação, acesso, correção, anonimização, bloqueio, eliminação, portabilidade quando regulamentada, informação sobre compartilhamentos, oposição, revisão de decisões automatizadas aplicáveis e revogação do consentimento. A identidade poderá ser verificada com o mínimo de informação necessário. Confirmação e acesso simplificados serão atendidos imediatamente quando possível; a declaração completa de acesso será fornecida em até 15 dias. Pedidos são gratuitos e podem ser enviados ao canal indicado no rodapé. Também é possível peticionar à ANPD.

8. Crianças e dados sensíveis

O serviço é direcionado a pessoas com 18 anos ou mais e não pretende tratar dados de crianças. Não solicitamos dados pessoais sensíveis para o funcionamento comum. O cliente não deve inserir esses dados sem necessidade, base legal e salvaguardas adequadas.

9. Segurança e incidentes

São usados autenticação, confirmação de e-mail, segregação por organização, autorização no servidor, criptografia de tokens, senhas com hash, cookies protegidos, limitação de requisições e registros de auditoria. Nenhum sistema é infalível. Incidentes que possam causar risco ou dano relevante serão avaliados e, quando obrigatório, comunicados à ANPD e aos titulares em até três dias úteis após o conhecimento pelo controlador, ressalvado prazo específico.

10. Decisões automatizadas e alterações

A aprovação do Pix é feita por moderação humana; a CandTech não usa o Google Analytics para decidir crédito, preço, acesso ou aprovação de pagamento. Mudanças materiais de finalidade, fornecedor ou categoria de dados exigem revisão deste aviso e, quando necessário, novo aceite ou consentimento.