Política de Privacidade
Esta Política descreve como a GestãoPay coleta, utiliza, armazena, compartilha e protege seus dados pessoais, em conformidade com a Lei nº 13.709/2018, a Lei Geral de Proteção de Dados Pessoais (LGPD).
1. Quem somos
A GestãoPay é um sistema de gestão financeira (contas a pagar e a receber, conciliação bancária, fluxo de caixa e relatórios) para pequenas e médias empresas brasileiras. Para fins da LGPD, somos o controlador dos dados da sua conta: cadastro, acesso, assinatura e uso do sistema. Para os dados de terceiros que a sua empresa lança no sistema, como fornecedores, clientes e movimentações do extrato, o controlador é a sua empresa, e nós atuamos como operador, tratando esses dados em nome dela para prestar o serviço.
Nome empresarial: 52.479.787 Rone Fernandes Alves Bragaglia (nome fantasia GestãoPay), CNPJ 52.479.787/0001-10
Site: https://gestaopay.online
Encarregado pelo Tratamento de Dados (DPO): Rone Fernandes Alves Bragaglia, pelo e-mail [email protected]
2. Quais dados coletamos
Coletamos apenas os dados estritamente necessários para prestar o serviço. Dividimos em três categorias:
2.1 Dados cadastrais (você nos fornece ao criar a conta)
- Nome completo, email, senha (armazenada com hash bcrypt, nunca em texto claro)
- CNPJ/CPF e razão social da empresa (quando aplicável)
- Telefone de contato
2.2 Dados de uso da plataforma (gerados pelo seu uso)
- Contas a pagar e a receber, empresas, fornecedores, clientes e extratos bancários importados
- Se você vincular o WhatsApp: as mensagens, fotos e áudios que enviar para lançar contas
- Se você usar o assistente “Pergunte ao seu financeiro”: o texto das perguntas
- Registros financeiros, relatórios gerados e arquivos exportados
2.3 Dados técnicos (coletados automaticamente)
- Endereço IP, tipo de navegador e dispositivo, sistema operacional
- Data, hora e rotas acessadas na plataforma (logs de auditoria)
- Tentativas de login que falharam: e-mail informado, endereço IP e navegador, para proteger a conta
- Cookies essenciais (sessão). Detalhes no item 8
2.4 Dados de pagamento (processados por gateways parceiros)
- Nome, e-mail e telefone da conta e, no pagamento por PIX ou boleto, CPF ou CNPJ
- Para pagamento por cartão: os dados do cartão são digitados e processados diretamente na página da Stripe, em ambiente certificado PCI-DSS Nível 1. Nós não recebemos nem armazenamos o número do cartão, o código de segurança ou a senha. Guardamos apenas os identificadores do cliente e da assinatura no meio de pagamento
- Para pagamento por boleto ou PIX: dados são processados pelo Asaas, instituição de pagamento regulada pelo Banco Central do Brasil
- Histórico da assinatura (valores, datas e situação dos pagamentos) para controle da assinatura
3. Base legal (Art. 7º da LGPD)
Tratamos seus dados com amparo nas seguintes hipóteses legais:
| Finalidade | Base legal |
|---|---|
| Execução do contrato de prestação do serviço | Art. 7º, V, execução de contrato |
| Cumprimento de obrigações legais e regulatórias (ex.: obrigações fiscais e ordens de autoridades) | Art. 7º, II, obrigação legal |
| Envio de comunicações essenciais sobre a conta | Art. 7º, V, execução de contrato |
| Atendimento a quem nos procura pelo WhatsApp, com um assistente automático na primeira resposta | Art. 7º, V, procedimentos preliminares a contrato, a pedido do titular |
| Recursos opcionais com inteligência artificial (lançamento pelo WhatsApp e assistente “Pergunte ao seu financeiro”) | Art. 7º, I, consentimento, ao ativar ou usar o recurso |
| Integração opcional com o CobrançaAuto, quando você a liga | Art. 7º, V, execução de contrato |
| Envio de comunicações de marketing opcional | Art. 7º, I, consentimento (revogável) |
| Análise antifraude e segurança da plataforma | Art. 7º, IX, legítimo interesse |
| Defesa em processos judiciais ou administrativos | Art. 7º, VI, exercício regular de direitos |
4. Para quê usamos seus dados
- Operar a plataforma: autenticação, contas a pagar e a receber, conciliação bancária, fluxo de caixa, DRE e relatórios
- Suporte ao cliente: responder dúvidas, solucionar problemas, atender solicitações. No WhatsApp, um assistente automático dá a primeira resposta e passa a conversa para uma pessoa quando você pede ou quando o assunto exige
- Melhorar o produto: análises agregadas e anônimas de uso (métricas de performance)
- Segurança: detectar fraudes, invasões, abuso de uso
- Comunicações transacionais: confirmações, alertas de vencimento, notificações críticas
- Cumprimento legal: atendimento a obrigações legais e a ordens judiciais
5. Compartilhamento de dados
Nunca vendemos seus dados. Compartilhamos apenas com:
- Órgãos públicos, quando exigido por lei
- Operadores (Art. 5º, VII da LGPD): infraestrutura e serviços contratados exclusivamente para operar a plataforma, sujeitos a contrato de confidencialidade e padrões equivalentes de segurança:
- Hostinger: hospedagem da aplicação (data center no Brasil)
- Cloudflare, Inc.: entrega de conteúdo (CDN) e proteção contra ataques DDoS/WAF
- Stripe Payments Europe, Ltd.: processamento de pagamentos por cartão de crédito. Ambiente certificado PCI-DSS Nível 1. Finalidade: execução do contrato de assinatura. Política de Privacidade da Stripe
- Asaas Gestão Financeira S.A.: processamento de pagamentos por PIX, boleto e cartão. Instituição de pagamento regulada pelo Banco Central do Brasil (BCB). Finalidade: execução do contrato de assinatura. Política de Privacidade do Asaas
- Provedor de email transacional: envio de notificações de sistema (confirmações, recuperação de senha, alertas)
- Serviços de inteligência artificial e de medição do site, descritos no item 5.1
- CobrançaAuto (integração opcional): se você ligar a integração e enviar uma conta a receber para cobrança, os dados dessa conta (nome, telefone e e-mail do cliente, valor, vencimento e descrição) vão para o serviço de cobrança CobrançaAuto
- Autoridades mediante ordem judicial ou requisição formal fundamentada
5.1 Transferência internacional de dados (Art. 33 da LGPD)
Parte dos operadores processa dados fora do Brasil. Informamos expressamente:
| Operador | País | Dados transferidos | Salvaguarda |
|---|---|---|---|
| Stripe | Irlanda (UE) e EUA | Nome e e-mail da conta. Os dados do cartão são digitados direto na página da Stripe e não passam por nós | Cláusulas contratuais padrão + certificação PCI-DSS + GDPR (país com nível de proteção adequado conforme Art. 33, I) |
| Cloudflare | EUA (com cache regional no Brasil) | Endereço IP, cabeçalhos HTTP, logs de acesso | Cláusulas contratuais padrão + certificações ISO 27001, SOC 2 Tipo II (Art. 33, IX) |
| Resend | EUA | Endereço de e-mail, nome e conteúdo das mensagens transacionais (avisos de vencimento, redefinição de senha, convites de equipe) | Cláusulas contratuais padrão (SCC) + acordo de tratamento de dados do fornecedor. Base legal: Art. 7º, V, execução do contrato |
| Sentry | EUA | Registros técnicos de erro: mensagem, endereço IP, navegador e URL. Endereços de e-mail são transmitidos mascarados (ex.: br***@empresa.com.br); senhas, documentos e chaves nunca são transmitidos |
Cláusulas contratuais padrão (SCC) + acordo de tratamento de dados do fornecedor + minimização por mascaramento na origem. Base legal: Art. 7º, IX, legítimo interesse (segurança e disponibilidade do serviço) |
| GitHub | EUA | Cópia de segurança do banco de dados, armazenada em repositório privado | O arquivo é cifrado em AES-256 dentro do Brasil antes de qualquer transmissão, e a chave de decifragem não é enviada ao operador, que não tem acesso ao conteúdo. Base legal: Art. 7º, V, execução do contrato |
| Google (Gemini API) | EUA | Somente se você optar por vincular o WhatsApp: as imagens de documentos financeiros que você mesmo enviar (nota fiscal, boleto, comprovante), para leitura automática dos dados | Cláusulas contratuais padrão (SCC). Funcionalidade opcional e de ativação expressa, mediante código de verificação, e que pode ser desvinculada a qualquer momento. Base legal: Art. 7º, I, consentimento |
| Groq | EUA | Se você vincular o WhatsApp: o texto e o áudio das mensagens que você mesmo enviar, para interpretação automática do lançamento. Se você usar o assistente “Pergunte ao seu financeiro”: o texto da pergunta. Se você escrever para o nosso WhatsApp de atendimento: o texto das mensagens e o primeiro nome, para o assistente automático responder | Cláusulas contratuais padrão (SCC). Os recursos do sistema são opcionais, e o WhatsApp exige ativação expressa, mediante código de verificação, e pode ser desvinculado a qualquer momento. Base legal: Art. 7º, I, consentimento; no atendimento, Art. 7º, V, procedimentos preliminares a contrato, a pedido do titular |
| Google (Analytics) | EUA | Páginas visitadas, tempo de visita, tipo de aparelho e navegador. Antes do seu aceite no aviso de cookies, a visita é contada sem cookie e sem identificar o aparelho; os cookies de medição só são gravados se você aceitar | Cláusulas contratuais padrão (SCC). Base legal: Art. 7º, I, consentimento, para os cookies de medição; Art. 7º, IX, legítimo interesse, para a contagem sem cookie |
As demais operações, hospedagem da aplicação (Hostinger) e processamento de boleto e PIX (Asaas, instituição de pagamento regulada pelo Banco Central do Brasil), ocorrem integralmente em território nacional. O banco de dados é armazenado no Brasil, e sua cópia de segurança é cifrada em território nacional antes de qualquer transmissão.
6. Por quanto tempo guardamos seus dados
| Tipo de dado | Prazo de retenção |
|---|---|
| Conta ativa | Enquanto durar o contrato |
| Após o cancelamento ou o fim do acesso | Os dados continuam guardados até você pedir a exclusão pelo e-mail do encarregado. O pedido é atendido no prazo do item 7. Depois da exclusão, os dados ainda podem continuar nas cópias de segurança cifradas (última linha desta tabela) |
| Registros de acesso e de atividade (data, hora e IP do login e das ações na conta) | Enquanto a conta existir; depois de uma exclusão, só nas cópias de segurança cifradas |
| Registro de tentativas de login que falharam | 90 dias |
| Cópias de segurança cifradas | Feitas várias vezes ao dia. Um dado apagado da base pode continuar nas cópias, sempre cifrado e com acesso restrito |
7. Seus direitos como titular (Art. 18 da LGPD)
Você pode, a qualquer momento e sem custo, solicitar:
- Confirmação da existência de tratamento de dados seus
- Acesso aos dados que tratamos
- Correção de dados incompletos, inexatos ou desatualizados
- Anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos
- Portabilidade dos dados a outro fornecedor (em formato estruturado)
- Eliminação dos dados tratados com base em consentimento
- Informação sobre com quem compartilhamos seus dados
- Informação sobre a possibilidade de não fornecer consentimento e suas consequências
- Revogação do consentimento, a qualquer tempo, mediante manifestação expressa
- Oposição a tratamento realizado com base em hipótese de dispensa de consentimento, em caso de descumprimento da LGPD
Para exercer qualquer um destes direitos, envie um email para [email protected] informando seu nome completo e o direito que deseja exercer. Responderemos em até 15 dias (art. 19, inciso II, da LGPD). O pedido de exclusão da conta também é feito por esse e-mail.
8. Cookies e tecnologias similares
Utilizamos três categorias de cookies:
| Categoria | Finalidade | Base legal |
|---|---|---|
| Essenciais | Manter sua sessão autenticada, proteção CSRF (Sanctum), persistência de preferência de tema. Não podem ser desativados: sem eles, o sistema não funciona. | Art. 7º, V |
| Analíticos | Google Analytics: medir o uso do site (páginas visitadas, tempo de visita) para melhorias. Os cookies de medição só são gravados se você aceitar; antes disso, a visita é contada sem cookie e sem identificar o aparelho. | Art. 7º, I, consentimento |
| Marketing | Atualmente não utilizamos cookies de marketing de terceiros. Se viermos a usar, pediremos consentimento separado. | Art. 7º, I, consentimento |
Você pode gerenciar suas preferências a qualquer momento através do banner exibido na página inicial ou pelo link Gerenciar cookies.
9. Segurança dos dados
Adotamos medidas técnicas e administrativas para proteger seus dados:
- Criptografia em trânsito: HTTPS obrigatório em todas as conexões, com HSTS
- Dados sensíveis: senhas guardadas só como hash (bcrypt); o segredo e os códigos de emergência da verificação em duas etapas ficam cifrados no banco
- Controle de acesso: autenticação por token, sessões com expiração, verificação em duas etapas, papéis de equipe e CORS restrito
- Isolamento de rede: MySQL e Redis sem exposição pública, acessíveis apenas por rede interna
- Backups: várias vezes ao dia, cifrados com AES-256, com cópia em outro local
- Auditoria: registro de atividades (quem lançou, alterou ou excluiu e quando) e registro das tentativas de login que falharam
- Política de senhas: mínimo 8 caracteres; recomendamos gerenciador de senhas e 2FA
Mais detalhes na página Segurança e LGPD.
10. Incidentes de segurança
Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos à ANPD (Autoridade Nacional de Proteção de Dados) e aos titulares afetados em prazo razoável, conforme Art. 48 da LGPD, descrevendo:
- A natureza dos dados pessoais afetados
- Os titulares envolvidos
- As medidas técnicas e de segurança utilizadas
- Os riscos relacionados ao incidente
- As medidas tomadas para reverter ou mitigar os efeitos
11. Menores de idade
A GestãoPay não é destinada a menores de 18 anos. Não coletamos conscientemente dados de menores. Caso identifiquemos coleta indevida, os dados serão excluídos imediatamente.
12. Alterações nesta Política
Podemos atualizar esta Política para refletir mudanças legais ou no serviço. Alterações relevantes serão comunicadas por email e por aviso no sistema com pelo menos 30 dias de antecedência. Correções que apenas alinham este texto ao funcionamento atual do serviço podem valer a partir da publicação, com aviso por e-mail. A data da última atualização aparece no topo deste documento.
13. Contato
Encarregado pelo Tratamento de Dados (DPO)
- Nome:
- Rone Fernandes Alves Bragaglia
- Email:
- [email protected]
- Assunto:
- Direitos do Titular (LGPD)
- Prazo de resposta:
- Até 15 dias (art. 19, inciso II, da LGPD)
Reclamações à ANPD
Se entender que seus direitos foram violados, você pode apresentar reclamação à Autoridade Nacional de Proteção de Dados: