Política de Privacidade do CorpDocs

1. Quem é o controlador

A controladora dos dados pessoais tratados no CorpDocs é a CorpSystems Tecnologia, CNPJ 50.236.138/0001-62, com sede em Goiânia, Goiás. Canal para assuntos de privacidade: contato@corpsystems.com.br.

2. A quem esta Política se aplica

• Usuários do sistema: quem cria uma conta ou é cadastrado por uma empresa no CorpDocs, inclusive na área do fornecedor.
• Visitantes das páginas públicas: quem acessa corpdocs.com.br sem entrar no sistema.
• Pessoas citadas em documentos: signatários, contatos de fornecedores e clientes, responsáveis por processos e outras pessoas cujos dados aparecem no conteúdo que uma empresa cliente cadastra ou envia. Nesses casos, a empresa cliente é a controladora desses dados e a CorpSystems atua como operadora, tratando-os apenas conforme as instruções dela e esta Política. Se você quiser exercer direitos sobre dados cadastrados por uma empresa, procure essa empresa; nós ajudamos no que for preciso.

3. Quais dados tratamos

Dados que você nos informa

• No cadastro: país e documento de identificação (CPF, no Brasil, ou número de identificação fiscal de outro país), nome, e-mail, telefone (opcional), senha (guardada apenas como hash, de forma que não conseguimos lê-la), o que você pretende fazer na plataforma (comprar, vender ou os dois) e, para contas de empresa, CNPJ e nome da empresa.
• No uso do sistema: cargo e setor, a remuneração bruta do usuário na empresa quando o administrador a informa no cadastro de usuários (campo da gestão de contratos), processos, documentos e arquivos enviados, contratos, cadastros de clientes e fornecedores, cotações, propostas, pedidos, avaliações, mensagens e tudo o que a sua empresa registra na plataforma.
• Na assinatura eletrônica: nos envelopes, nome, e-mail e, quando houver, documento do signatário; na assinatura com PIN, o usuário que assinou e o PIN, guardado apenas como hash.
• No contato conosco: o que você escreve por e-mail ou WhatsApp.

Dados gerados pelo uso

• Registros de acesso e auditoria: data e hora, endereço IP, navegador e sistema operacional, ação realizada (login, criação, alteração, download, assinatura, aceite dos termos) e identificação do usuário e da empresa.
• Eventos de uso: cada uso das principais funções fica registrado com a empresa, o usuário, a sessão, a função usada, o registro a que se refere e a data e a hora. Esses eventos são analisados em conjunto, em relatórios por empresa e por período, para acompanhar a adoção do produto.
• Notificações: os avisos enviados por e-mail (vencimentos, aprovações, cobranças) e se foram entregues.
• Origem do cadastro: os parâmetros de campanha do endereço pelo qual você chegou ao site ou ao cadastro (utm), o identificador de clique do Google Ads (gclid) e os identificadores equivalentes do Google Ads (gbraid e wbraid), quando houver, a página de entrada e o site de origem. Se você chega a uma página pública por um anúncio, esses parâmetros ficam no armazenamento da sessão do navegador, que é apagado ao fechar a aba, para serem levados até o cadastro. Durante o cadastro eles ficam no mesmo armazenamento, que é limpo ao concluir o cadastro, e depois são guardados com a conta (gbraid e wbraid, como parte do endereço da página de entrada), para sabermos de onde vêm os cadastros. Esse registro não usa cookies e não é enviado ao Google. A tag do Google (seção 9) recebe o endereço da página com os parâmetros de campanha e de clique (utm, gclid, gbraid e wbraid), para medir os anúncios, com ou sem o seu aceite: antes dele, só sem cookie e sem identificador de usuário; nunca tokens de convite, nome, e-mail ou documento.

Dados obtidos de terceiros

• Receita Federal, por meio da BrasilAPI: dados públicos do CNPJ informado (razão social, situação cadastral, endereço, atividade), consultados na base pública da Receita Federal pela BrasilAPI para validar e preencher o cadastro da empresa.
• ViaCEP: endereço correspondente ao CEP digitado num formulário, consultado pelo seu navegador para preencher o endereço.
• Asaas: situação das cobranças (emitida, paga, vencida, estornada ou contestada). Os dados do cartão e os dados bancários são tratados exclusivamente pelo Asaas e não chegam aos nossos servidores.
• Empresa que convidou você: quando uma empresa cliente cadastra você como fornecedor, cliente ou signatário, recebemos dela o seu nome, e-mail, documento e os dados do contrato ou cotação.
• Convites: quando um usuário convida um colega, um fornecedor ou um cliente que ainda não usa o CorpDocs, enviamos em nome da empresa dele um e-mail com o nome da empresa e o link do convite, usando apenas o nome e o e-mail informados. Nenhuma conta é criada em nome de quem foi convidado: ela só existe se a pessoa aceitar o convite. Quem não quiser receber convites pode pedir, pelo e-mail de contato, que os convites pendentes para o seu endereço sejam cancelados.
• Campanha de convite a fornecedores: a CorpSystems convida empresas a vender no marketplace a partir de listas de contatos comerciais de fornecedores que atendem empresas. Dessas listas recebemos o CNPJ, a razão social, o e-mail comercial, o nome do contato (quando houver) e a categoria do fornecedor, e registramos a origem de cada lista. O convite é enviado pela CorpSystems, em nome próprio, e nada é criado em nome da empresa convidada: a conta só existe se ela mesma fizer o cadastro e aceitar os Termos de Uso. Cada e-mail traz um link para sair da lista em um clique, e o pedido de saída também pode ser feito pelo e-mail de contato.

Não pedimos nem tratamos intencionalmente dados pessoais sensíveis (saúde, biometria, convicções, origem racial, entre outros). Se uma empresa cliente incluir esse tipo de dado em um documento, ela responde por ter base legal para isso.

4. Finalidades e bases legais

O CPF é pedido no início do cadastro porque identifica a conta com segurança e evita cadastros duplicados; não o usamos para outra finalidade nem o mostramos a outras empresas.

5. Com quem compartilhamos

Não vendemos dados pessoais. Compartilhamos dados apenas nas situações abaixo.

Operadores que nos ajudam a prestar o serviço

Empresas que tratam dados em nosso nome, sob contrato, só para a finalidade indicada e com obrigações de segurança e confidencialidade:

Consultas a bases públicas

Para preencher o cadastro, o CNPJ informado é consultado na BrasilAPI, serviço que acessa a base pública da Receita Federal, e o CEP digitado é consultado no ViaCEP diretamente pelo seu navegador. Esses serviços recebem apenas o número consultado e o endereço IP de quem consulta.

Outras empresas que usam o CorpDocs

Quando você ou a sua empresa envia algo a outra empresa pela plataforma, ela recebe os dados necessários àquele negócio: a outra parte de um contrato vê os dados dos signatários; uma compradora vê os dados dos fornecedores que ela mesma cadastrou ou convidou; um fornecedor vê os dados da compradora que pediu a cotação ou emitiu o pedido. Os dados públicos do CNPJ ficam visíveis para quem faz negócio com a sua empresa no CorpDocs.

As avaliações de fornecedor são compartilhadas assim: a nota e o comentário aparecem para as outras compradoras como “Compradora verificada”, com o mês e o ano, sem o nome da empresa nem de quem avaliou; o fornecedor avaliado vê a nota e o comentário com o nome da empresa compradora e o número do pedido.

Autoridades e defesa de direitos

Quando a lei exigir, por ordem judicial ou de autoridade competente, ou para defender os nossos direitos ou os de terceiros, no limite do necessário.

Sucessão empresarial

Em caso de fusão, aquisição ou venda do CorpDocs, os dados podem ser transferidos ao sucessor, que fica obrigado a esta Política. Avisaremos você antes.

6. Transferência internacional

Nossos servidores principais ficam no Brasil. Alguns operadores (Google, Supabase, Microsoft) podem processar ou guardar dados em outros países, em especial nos Estados Unidos. Nesses casos a transferência se apoia nas hipóteses do art. 33 da LGPD, com cláusulas contratuais que garantem um nível de proteção compatível com a lei brasileira.

7. Por quanto tempo guardamos

• Dados da conta e conteúdo cadastrado: enquanto a conta existir. Ao voltar ao plano Gratuito, nada é apagado.
• Após o encerramento da conta: os dados da conta são apagados ou anonimizados em até 90 dias, exceto o que precisa ficar pelos prazos abaixo.
• Documentos assinados e registros de assinatura e de aceite dos termos: pelo prazo de prescrição aplicável ao documento, para comprovar autoria e integridade, e pelo tempo que a outra parte do documento mantiver a conta dela.
• Registros de acesso à aplicação: pelo menos 6 meses, como exige o Marco Civil da Internet (Lei nº 12.965/2014, art. 15), e no máximo o necessário para segurança e auditoria.
• Campanha de convite a fornecedores: o e-mail e o nome do contato de quem não respondeu ao convite ficam guardados por até 12 meses depois do envio. Quem pede para sair entra numa lista de supressão permanente, para não ser convidado de novo: a lista guarda o CNPJ e um resumo criptográfico (hash) do e-mail, e o e-mail, o nome do contato e a categoria do convite são apagados.
• Dados de cobrança e notas fiscais: pelos prazos da legislação fiscal e contábil, normalmente 5 anos a partir do exercício seguinte.
• Medição de visitas e de anúncios (Google Analytics e Google Ads, só com o seu consentimento): os cookies que eles gravam no seu navegador têm validade de até 2 anos (os do Google Analytics) e de até 90 dias (os do Google Ads), e a validade pode ser renovada a cada visita; eles saem antes disso se você recusar a medição em Preferências de cookies (os cookies são apagados) ou se apagá-los no navegador. Os eventos de visita e de cadastro ficam no Google Analytics pelo prazo de retenção configurado na nossa conta, de no máximo 14 meses, e as conversões ficam nos relatórios do Google Ads pelos prazos de retenção do Google.
• Anúncio de entrada guardado pelas páginas públicas: fica no armazenamento da sessão do navegador até você fechar a aba ou concluir o cadastro.
• Cópias de segurança: são sobrescritas em ciclos curtos e não são usadas para restaurar dados já apagados, salvo recuperação de falha.

8. Seus direitos e como exercê-los

Pela LGPD (art. 18), você pode pedir a qualquer momento:

• confirmação de que tratamos os seus dados e acesso a eles;
• correção de dados incompletos, inexatos ou desatualizados (para corrigir nome, e-mail, telefone ou cargo, escreva para o canal indicado logo abaixo);
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• portabilidade dos seus dados a outro fornecedor de serviço;
• eliminação dos dados tratados com base no seu consentimento;
• informação sobre com quem compartilhamos os seus dados;
• informação sobre a possibilidade de não dar consentimento e as consequências disso, e a revogação do consentimento;
• oposição a um tratamento feito com base em legítimo interesse, se entender que ele viola a lei;
• revisão de decisões tomadas unicamente com base em tratamento automatizado (hoje o CorpDocs não toma decisões assim sobre você).

Canal: envie o pedido para contato@corpsystems.com.br, de preferência a partir do e-mail cadastrado na conta, para confirmarmos a sua identidade. Respondemos no prazo da lei e sem custo. Se o dado foi cadastrado por uma empresa cliente (seção 2), encaminhamos o pedido a ela ou orientamos você a procurá-la. Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

Alguns dados não podem ser apagados enquanto houver obrigação legal ou contrato em vigor (por exemplo, um documento assinado em que você é signatário ou uma nota fiscal). Nesses casos explicamos o motivo na resposta.

9. Cookies e tecnologias semelhantes

No sistema (área logada)

Usamos apenas o que é necessário para o funcionamento: o token da sua sessão, a empresa selecionada e preferências de interface (como o tema claro ou escuro) ficam no armazenamento local do navegador e não são usados para rastrear você em outros sites. Sem eles, não é possível manter você conectado. O sistema também carrega as fontes do Google Fonts e o script do Google Maps, dos servidores do Google: ao abrir o sistema, o seu navegador informa ao Google o endereço IP e o tipo de navegador. Não usamos esses serviços para publicidade nem para medir o seu uso. Nenhuma tag de publicidade ou de análise é carregada na área logada, e nada do que você faz nela é enviado ao Google Analytics ou ao Google Ads.

Nas páginas públicas e na tela de cadastro

As páginas públicas (corpdocs.com.br/conheca, as páginas de soluções, os Termos de Uso e esta Política) usam as fontes do Google Fonts, carregadas dos servidores do Google: ao abrir a página, o seu navegador informa ao Google o endereço IP e o tipo de navegador, sem cookies.

Além disso, as páginas públicas e a tela de cadastro carregam a tag do Google Analytics e do Google Ads, para medir as visitas e os anúncios que trazem pessoas ao CorpDocs (quantas pessoas chegaram por um anúncio e quantas criaram conta), no modo de consentimento do Google (Consent Mode). A tag é carregada antes de você escolher, mas com o consentimento negado: nesse estado ela não grava nem lê cookies e envia ao Google apenas sinais sem cookie e sem identificador de usuário (o título e o endereço da página visitada e o da anterior, só com os parâmetros de campanha e de clique e os de origem e plano dos nossos links, as interações com a página, como rolagem e cliques em links, e dados técnicos como o tipo de navegador e o endereço IP), que o Google usa para estimativas agregadas de visitas. Enquanto você não escolher, um aviso com os botões Aceitar e Recusar aparece na página. Os cookies de medição e o evento de cadastro só entram com o seu aceite. Recusar, ou não escolher, não muda nada no uso do site nem no cadastro.

Se você aceitar:

• o Google Analytics e o Google Ads gravam cookies no seu navegador, no domínio corpdocs.com.br, e recebem, entre outras informações técnicas, o endereço IP, dados do navegador e do dispositivo (como tipo de navegador, idioma e resolução de tela), o título e o endereço da página visitada e o da anterior, só com os parâmetros de campanha e de clique (utm, gclid, gbraid e wbraid) e os de origem e plano dos nossos links, nunca com tokens de convite, e as interações com a página, como rolagem e cliques em links, sem o que você digita nos campos;
• ao concluir o cadastro, enviamos ao Google Analytics o evento de cadastro, com o tipo de perfil escolhido (comprador, fornecedor ou ambos) e o plano pretendido (gratuito ou profissional), e ao Google Ads a conversão de cadastro; nenhum dos dois leva nome, e-mail, documento ou outro dado digitado no cadastro;
• usamos o modo de consentimento do Google (Consent Mode) com a personalização de anúncios e o envio de dados do usuário para anúncios sempre negados: não fazemos remarketing (anúncios para quem visitou o site) nem personalização de anúncios, e nenhum dado do cadastro, como o e-mail, é enviado ao Google, nem em forma criptografada.

Se você recusar, ou enquanto não escolher, a tag continua carregada só com os sinais sem cookie descritos acima: nenhum cookie é gravado, e o evento de cadastro não é enviado.

Como mudar a escolha: a escolha fica guardada no armazenamento local do seu navegador (não é cookie) e vale para as páginas públicas e para a tela de cadastro. Você pode mudá-la a qualquer momento em Preferências de cookies, no rodapé das páginas públicas. Ao recusar depois de ter aceitado, o consentimento volta a negado e os cookies do Google Analytics e do Google Ads são apagados do domínio corpdocs.com.br. Você também pode apagar os cookies e os dados do site no navegador, bloquear cookies de terceiros ou gerenciar a personalização de anúncios nas configurações da sua conta Google. A tag não é carregada na área logada.

Quando você chega a uma página pública por um anúncio, a página guarda os parâmetros de campanha (utm), o identificador de clique do Google Ads (gclid) e os identificadores equivalentes (gbraid e wbraid) no armazenamento da sessão do navegador, que é apagado ao fechar a aba, só para levá-los ao cadastro se você criar uma conta (veja “Origem do cadastro” na seção 3). Esse armazenamento não é cookie e não é usado para acompanhar você em outros sites; o que ele guarda não é enviado ao Google (com ou sem o seu aceite, a tag recebe apenas o endereço da página, como descrito acima; antes do aceite, só sem cookie e sem identificador de usuário).

10. Segurança

Adotamos medidas técnicas e administrativas para proteger os dados, entre elas:

• criptografia em trânsito (HTTPS) em todas as páginas e na comunicação com a API;
• senhas e PINs de assinatura guardados apenas como hash; confirmação de e-mail por código no cadastro, na recuperação de senha e na assinatura por envelope;
• separação dos dados por empresa e permissões por usuário dentro de cada empresa;
• registros de auditoria das operações relevantes e limite de tentativas de login por endereço;
• segredos e credenciais da infraestrutura guardados em cofre, fora do código;
• cópias de segurança periódicas e acesso à infraestrutura restrito à equipe responsável.

Nenhum sistema é totalmente imune a incidentes. Se ocorrer um incidente de segurança que possa causar risco ou dano relevante a você, comunicaremos você e a ANPD conforme a LGPD, informando o que aconteceu, os dados envolvidos e as medidas tomadas.

11. Menores de idade

O CorpDocs é um serviço para uso profissional, destinado a pessoas com 18 anos ou mais que atuam em nome de uma empresa ou por conta própria. Não tratamos intencionalmente dados de crianças e adolescentes; se tomarmos conhecimento de um cadastro assim, ele será encerrado.

12. Alterações desta Política

Podemos atualizar esta Política quando o produto, os operadores ou a lei mudarem. A versão vigente fica nesta página, com a data no topo. Mudanças relevantes são avisadas por e-mail com antecedência; continuar usando o CorpDocs depois da data da nova versão significa aceitá-la.

13. Encarregado e contato

O encarregado pelo tratamento de dados pessoais (DPO) da CorpSystems atende pelo e-mail contato@corpsystems.com.br. CorpSystems Tecnologia, CNPJ 50.236.138/0001-62, Goiânia/GO.

Veja também os Termos de Uso, que regulam a conta, os planos, a cobrança e o marketplace.