STRUKTUR — Política de Privacidade
> Versão: 1.2
> Data: 2026-09-28
> Classificação: Público
> Epic: 13 — Segurança, Governança de Dados & Compliance
> Base Legal: Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — LGPD)
> Pendente de revisão jurídica externa. A versão 1.1 identifica o encarregado (DPO) da operadora, conforme art. 41, e aponta o DPA publicado. A versão 1.2 descreve as medidas de segurança só como elas existem hoje, marca como "em implantação" o que ainda está sendo construído e deixa em aberto a pessoa jurídica operadora.
1. Identificação do Controlador e Operador
O STRUKTUR atua como operador de dados (processador) nos termos da LGPD. O controlador é a empresa (tenant) que utiliza a plataforma.
| Papel | Entidade | Responsabilidade |
|---|---|---|
| Controlador | Empresa cadastrada (tenant) | Define finalidade e base legal do tratamento |
| Operador | STRUKTUR — [RAZÃO SOCIAL — a definir pelo CEO], CNPJ [CNPJ — a definir pelo CEO] | Processa dados conforme instruções do controlador |
2. Dados Coletados
2.1 Dados do Titular (Empresa e Representantes)
| Categoria | Dados | Finalidade | Base Legal (LGPD) |
|---|---|---|---|
| Cadastrais | Razão social, CNPJ, endereço, setor, porte | Identificação e operação da conta | Art. 7º, V — Execução de contrato |
| Pessoais (representantes) | Nome, e-mail, telefone | Autenticação e comunicação | Art. 7º, V — Execução de contrato |
| Financeiros | Transações, contas a pagar/receber, extratos | Core da plataforma | Art. 7º, V — Execução de contrato |
| Bancários | Dados de contas, saldos, pagamentos | Operações bancárias integradas | Art. 7º, I — Consentimento |
| Fiscais | NF-e, NFS-e, regime tributário | Compliance fiscal | Art. 7º, II — Obrigação legal |
| Comportamentais | Uso da plataforma, features utilizadas | Melhoria do serviço | Art. 7º, IX — Legítimo interesse |
| Analíticos (AI) | Padrões financeiros, benchmarks | Inteligência artificial | Art. 7º, I — Consentimento |
2.2 Dados Técnicos
| Dado | Finalidade |
|---|---|
| Endereço IP | Segurança e audit trail |
| User-Agent | Diagnóstico e segurança |
| Cookies de sessão | Autenticação |
| Logs de acesso | Auditoria e compliance |
3. Finalidade do Tratamento
Os dados são tratados exclusivamente para:
1. Prestação do serviço — Gestão financeira, bancária, fiscal e estratégica
2. Compliance — Obrigações legais e fiscais (retenção mínima de 5 anos)
3. Segurança — Prevenção de fraudes, audit trail, controle de acesso
4. Melhoria do serviço — Analytics agregados e anônimos
5. Inteligência artificial — Análises preditivas e recomendações (mediante consentimento)
4. Compartilhamento de Dados
| Destinatário | Dados Compartilhados | Finalidade | Base Legal |
|---|---|---|---|
| Provedor BaaS (Banking as a Service) | Dados de pagamento | Execução de transações | Art. 7º, V |
| Supabase (infraestrutura) | Todos (criptografados) | Hosting e banco de dados | Art. 7º, V |
| Receita Federal (via NFe/NFSe) | Dados fiscais | Obrigação legal | Art. 7º, II |
| Nenhum terceiro adicional | — | — | — |
Não vendemos, alugamos ou compartilhamos dados com terceiros para fins de marketing.
5. Direitos do Titular (Art. 18 — LGPD)
| Direito | Como Exercer | Prazo |
|---|---|---|
| Confirmação e acesso | Dashboard → Configurações → Meus Dados | Imediato |
| Correção | Editar dados na interface | Imediato |
| Anonimização/bloqueio | Solicitar via configurações | 15 dias |
| Portabilidade | GET /api/security/data-export ou Dashboard → Exportar Dados | Imediato |
| Eliminação | Dashboard → Configurações → Solicitar Exclusão | 30 dias de carência |
| Informação sobre compartilhamento | Esta política (Seção 4) | Imediato |
| Revogação de consentimento | Dashboard → Configurações → Consentimentos | Imediato |
5.1 Exportação de Dados (Portabilidade)
- Formato: JSON estruturado com metadados
- Cobertura: Todas as tabelas com dados do tenant (23+ tabelas)
- Acesso: Administradores da empresa
5.2 Exclusão de Dados (Right to be Forgotten)
1. Administrador solicita exclusão via interface
2. Período de carência de 30 dias (cancelável)
3. Após carência: exclusão definitiva de todos os dados
4. Dados anonimizados retidos para fins estatísticos (sem PII)
5. Audit logs mantidos por 5 anos (obrigação fiscal — Art. 16, I)
6. Confirmação por email após conclusão
6. Consentimento
6.1 Tipos de Consentimento
| Tipo | Obrigatório | Descrição |
|---|---|---|
data_processing | Sim | Processamento de dados para uso da plataforma |
ai_analysis | Não | Análise por inteligência artificial (recomendações, previsões) |
marketing | Não | Comunicações sobre novidades e ofertas |
third_party_sharing | Não | Compartilhamento com parceiros (quando aplicável) |
6.2 Revogação
- O consentimento pode ser revogado a qualquer momento
- Revogação de
ai_analysisdesabilita features de IA para a empresa - Revogação de
data_processingrequer exclusão da conta
6.3 Versionamento
Quando os termos são atualizados, o sistema solicita novo consentimento antes de prosseguir.
7. Segurança dos Dados
| Medida | Implementação |
|---|---|
| Criptografia em repouso | Fornecida pelo provedor de hospedagem do banco de dados (Supabase) |
| Criptografia em trânsito | TLS |
| Criptografia de campos sensíveis | pgcrypto (criptografia simétrica PGP) |
| Isolamento por empresa | Row-Level Security (RLS) nas tabelas com dados da empresa |
| Trilha de auditoria | Registros que não aceitam alteração nem exclusão, retidos por 5 anos |
| Backup | Feito pelo provedor de hospedagem; teste periódico de restauração em implantação |
| Controle de acesso | Papéis (admin, financeiro, contador, visualizador) |
| Autenticação em duas etapas (MFA) | Em implantação — ainda não é exigida |
8. Retenção de Dados
| Categoria | Período | Justificativa |
|---|---|---|
| Dados operacionais | Enquanto conta ativa | Execução do serviço |
| Dados fiscais | 5 anos após geração | Obrigação legal (Art. 173, CTN) |
| Audit logs | 5 anos | Compliance fiscal |
| Backups | Conforme a política do provedor de hospedagem | Recuperação de desastre |
| Dados pós-exclusão | Imediatamente excluídos | Direito do titular |
| Dados anonimizados | Indefinido | Fins estatísticos (Art. 12, LGPD) |
9. Cookies
O STRUKTUR utiliza apenas cookies essenciais para funcionamento:
| Cookie | Finalidade | Duração |
|---|---|---|
| Sessão Supabase Auth | Autenticação do usuário | Sessão |
| Preferências de UI | Tema, idioma, layout | 1 ano |
Não utilizamos cookies de rastreamento, analytics de terceiros ou publicidade.
10. Alterações nesta Política
Alterações substanciais serão comunicadas por:
1. Banner no dashboard da plataforma
2. Email para administradores das empresas
3. Solicitação de re-consentimento quando necessário
11. Contato
Para questões sobre privacidade, exercício de direitos ou denúncias:
- Email: privacy@struktur.com.br
- Encarregado (DPO) da operadora do STRUKTUR ([RAZÃO SOCIAL — a definir pelo CEO]): Luca Cortez — privacy@struktur.com.br (art. 41 da LGPD)
- Encarregado do controlador: designado pela empresa cliente, que é a controladora dos dados (Seção 1)
- ANPD: www.gov.br/anpd (autoridade reguladora)
O acordo que rege o tratamento entre controlador e operador está publicado em Acordo de Processamento de Dados (DPA), nos termos do art. 39 da LGPD.
Documento vivo — atualizado conforme evolução da plataforma e requisitos regulatórios.