Política de Privacidade

Esta Política descreve como o COA System, plataforma operada pela Sheq Consultoria (inscrita no CNPJ sob nº [CNPJ], com sede em [endereço]; a seguir, "Sheq", "nós"), trata dados pessoais, em conformidade com a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados — LGPD). Ao utilizar a plataforma, o titular declara ter lido e compreendido esta Política.

1. Papéis: controlador e operador

Em relação aos dados inseridos por uma organização cliente (fornecedores, contatos, Certificados de Análise e os dados deles extraídos), o cliente é o Controlador — decide sobre as finalidades e os meios do tratamento — e a Sheq atua como Operadora, tratando os dados em nome do cliente, conforme suas instruções e o contrato firmado (que inclui acordo de tratamento de dados — DPA). Quanto aos dados de conta dos usuários da plataforma (cadastro, acesso e segurança), a Sheq atua como Controladora.

2. Dados que tratamos

• Dados de conta: nome, e-mail, função (role), idioma e registro do aceite dos termos (data/hora).
• Dados de fornecedores e contatos cadastrados pelo cliente: nome, cargo, e-mail, telefone.
• Documentos enviados (Certificados de Análise) e os dados deles extraídos, que podem conter nome e identificação de responsáveis técnicos.
• Dados técnicos e de uso: logs de auditoria, eventos de sistema, endereços de e-mail de notificação e registros necessários à segurança e operação.

Não tratamos intencionalmente dados pessoais sensíveis (art. 5º, II, da LGPD). O cliente compromete-se a não inserir tais dados, salvo se previsto em contrato e amparado por base legal adequada.

3. Finalidades e bases legais

Tratamos os dados para:

• Prestar o serviço (upload, extração automática, análise contra especificação, notificações, relatórios) — base: execução de contrato (art. 7º, V).
• Comunicações operacionais (avisos de análise, convites de acesso, recuperação de senha) — base: execução de contrato.
• Segurança, prevenção a fraude, auditoria e rastreabilidade — base: legítimo interesse (art. 7º, IX) e cumprimento de obrigação legal/regulatória (art. 7º, II).

4. Decisões automatizadas (IA)

A plataforma usa inteligência artificial para extrair dados dos documentos e comparar os valores contra a especificação, podendo sugerir um resultado (conforme/não conforme) e, quando configurado pelo cliente, aprovar automaticamente lotes com alta confiança. A validação final de conformidade é de responsabilidade do usuário qualificado (QA) do cliente — a automação é auxílio à decisão. Nos termos do art. 20 da LGPD, o titular pode solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, pelos canais da Seção 9.

5. Compartilhamento e subprocessadores

Para operar o serviço, utilizamos prestadores que tratam dados em nosso nome, sob obrigações contratuais de proteção equivalentes:

• Supabase — banco de dados, autenticação e armazenamento dos arquivos.
• Anthropic (Claude) — extração de dados dos documentos por IA (processamento nos EUA).
• Resend — envio de e-mails transacionais.
• Vercel — hospedagem da aplicação.
• Microsoft — login corporativo (SSO) e integração com SharePoint, quando habilitados pelo cliente.

A lista atualizada de subprocessadores é mantida pela Sheq e pode ser solicitada pelo contato da Seção 9. Não vendemos dados pessoais e não os utilizamos para publicidade ou para treinar modelos de IA de terceiros.

6. Transferência internacional

Alguns subprocessadores (ex.: Anthropic, e a depender da região de hospedagem, Supabase/Vercel) processam dados fora do Brasil. Essas transferências observam as hipóteses do art. 33 da LGPD e são amparadas por cláusulas contratuais de proteção de dados (incluindo acordos de tratamento — DPA) firmadas com cada prestador. Para o processamento por IA, a Sheq pode habilitar, mediante solicitação do cliente, condições reforçadas de retenção zero junto à Anthropic.

7. Retenção e eliminação

Os dados são mantidos enquanto durar o contrato com o cliente e pelos prazos legais e regulatórios aplicáveis (por exemplo, a guarda de Certificados de Análise como evidência da qualidade). Encerrado o contrato, os dados são eliminados ou anonimizados em prazo razoável, ressalvadas as hipóteses de guarda obrigatória previstas no art. 16 da LGPD. Logs de auditoria e eventos de sistema são retidos pelo período necessário à segurança e ao cumprimento de obrigações.

8. Direitos do titular

Nos termos do art. 18 da LGPD, o titular pode solicitar: confirmação da existência de tratamento; acesso aos dados; correção de dados incompletos, inexatos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos; portabilidade; informação sobre compartilhamentos; e revisão de decisões automatizadas (Seção 4).

Como, em regra, a Sheq atua como Operadora, as solicitações relativas a dados de uma organização devem ser dirigidas ao cliente Controlador; quando recebidas diretamente pela Sheq, serão encaminhadas ao Controlador ou atendidas conforme a lei. Responderemos no menor prazo possível, observados os prazos legais. Canais na Seção 9.

9. Encarregado (DPO) e contato

Dúvidas, solicitações de direitos de titular ou comunicações sobre privacidade podem ser enviadas para contato@sheqconsult.com. O Encarregado pelo Tratamento de Dados Pessoais (DPO) será formalmente indicado no contrato e nesta Política [nome/contato do Encarregado a incluir].

10. Segurança e incidentes

Adotamos medidas técnicas e organizacionais compatíveis com o risco: isolamento por organização (multi-tenant com Row-Level Security), controle de acesso por função, criptografia em trânsito e em repouso pelos provedores, e registro de auditoria das operações relevantes. Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a Sheq comunicará o cliente Controlador e apoiará as comunicações cabíveis à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares, nos termos do art. 48 da LGPD.

11. Crianças e adolescentes

A plataforma é uma ferramenta corporativa, destinada a usuários profissionais, e não é dirigida a crianças ou adolescentes. Não coletamos intencionalmente dados de menores de 18 anos.

12. Cookies

Utilizamos apenas cookies essenciais: autenticação de sessão e preferência de idioma (coa_locale). Não usamos cookies de publicidade nem de rastreamento de terceiros.

13. Alterações desta Política

Esta Política pode ser atualizada. Mudanças relevantes serão comunicadas pelos canais da plataforma, com indicação da data de atualização no topo deste documento. O uso continuado após a vigência das alterações representa ciência.