O que fica registrado, de quem, por quanto tempo — e o que nem chega até aqui.

Este aviso cobre três grupos de pessoas, e o tratamento é diferente para cada um. É útil identificar em qual você está antes de ler o resto.

• Visitante do site: quem navega em lastro e, eventualmente, preenche o formulário de contato.
• Usuário da contratante: a pessoa que acessa a plataforma em nome da empresa que contratou o Lastro.
• Prestador: o responsável pela pessoa jurídica contratada, que recebe convite para o portal e envia documentos por lá. O prestador é titular de dados e não é cliente do Lastro — não contratou nada e não paga nada.

Em relação aos dados coletados neste site e aos dados de cadastro dos usuários da plataforma, o Lastro é o controlador: é ele quem define a finalidade e os meios do tratamento.

Em relação aos dados dos prestadores e aos documentos guardados no dossiê de cada cliente, quem define a finalidade é a empresa contratante, que atua como controladora. O Lastro atua como operador: trata esses dados conforme as instruções dela e os limites do contrato, e não os usa para finalidade própria.

A consequência prática interessa ao prestador. Pedidos sobre os documentos e os dados que constam do dossiê são resolvidos com a empresa que o contratou, porque é ela quem decide o que fica registrado sobre a relação de vocês. Se você não souber a quem se dirigir, escreva para nós e encaminhamos ao controlador correspondente.

Somente o que você digita no formulário de contato: nome, e-mail e a faixa aproximada de prestadores PJ ativos. Não há outro formulário no site que colete dado pessoal.

Não usamos rastreador de terceiro, pixel de rede social nem cookie de publicidade. Não há perfilamento de visitante e não há venda ou cessão de lista para ninguém.

As dezesseis respostas do diagnóstico ficam no seu navegador enquanto a aba está aberta e não são transmitidas para nós. Não há campo de e-mail no percurso, não há cadastro e o resultado aparece inteiro na tela. Fechou a aba, acabou.

Nenhuma pergunta do diagnóstico se refere a uma pessoa específica, e não existe campo para isso.

Da empresa: razão social, nome de exibição, CNPJ, plano contratado e fuso horário usado para calcular competência e vigência.

De cada usuário: nome, e-mail, papel de acesso, a senha guardada apenas como hash e o registro do último acesso. O nome do usuário também é gravado, como texto, ao lado de cada ação que ele executa — é o que torna o histórico legível anos depois, inclusive quando a pessoa já saiu da empresa.

Da cobrança: o registro de pagamentos e a data até a qual a assinatura está paga. Os dados do meio de pagamento são tratados pelo provedor de pagamento, e não trafegam nem ficam armazenados aqui.

Esta é a seção que interessa a quem prestou serviço e nunca contratou nada conosco. Sobre o prestador ficam registrados, a pedido da empresa contratante:

• Identificação da pessoa jurídica: CNPJ, razão social, nome fantasia e regime tributário.
• Dados do responsável: nome, e-mail e telefone. O CPF é opcional e só é solicitado quando a contratante precisa conferir titularidade.
• Dados cadastrais públicos registrados a partir de consulta ao CNPJ feita manualmente: situação cadastral, data e motivo dela, CNAE, porte, data de abertura e município, com a data em que a consulta foi feita.
• Documentos da relação: contrato e suas versões, aditivos, notas fiscais e os arquivos enviados por você pelo portal.
• Registro de uso do portal: quando o convite foi aceito, quando você acessou, o que enviou e quando um documento foi baixado.
• Datas da prestação: início e, quando houver, fim — que são o que determina por quanto tempo os documentos são conservados.

Não são tratados dados sensíveis na acepção da LGPD, não há tratamento de dados de crianças ou adolescentes e não há enriquecimento de base com dados comprados de terceiros.

Não existe decisão automatizada que produza efeito jurídico sobre pessoa alguma, e não existirá: isso exigiria pontuar ou classificar a relação, e o sistema é proibido por arquitetura de armazenar ou derivar nota, percentual, grau de risco ou juízo de conformidade. A proibição é verificada por teste automatizado no motor de evidências.

O conteúdo dos clientes não é usado para treinar modelo, para compor base de mercado nem para qualquer estatística que identifique organização, prestador ou pessoa.

Não vendemos e não cedemos dados. O compartilhamento existente é o mínimo para o serviço funcionar, e se dá com fornecedores que atuam como suboperadores, cada um com acesso restrito ao que a função dele exige:

• Provedor de infraestrutura e de armazenamento de arquivos, onde os documentos ficam guardados.
• Provedor de envio de e-mail, para convites, avisos e comunicações da conta.
• Provedor de meio de pagamento, para a cobrança da assinatura.

Ponto em abertoDois serviços previstos ainda não têm provedor e não recebem dado nenhum hoje: a consulta cadastral de CNPJ e a assinatura eletrônica. Quando forem contratados, entram nesta lista antes de entrarem no código.

A lista abaixo descreve controles que estão em produção hoje, e não um plano. Ela é curta de propósito: mencionar controle especificado e não construído é o tipo de afirmação que uma página de privacidade não pode fazer.

• Isolamento entre organizações garantido no próprio banco de dados, por chave composta, e não apenas por verificação na aplicação. Recurso de outra organização responde como inexistente.
• Documentos guardados fora do banco, em armazenamento sem leitura pública. O acesso a um arquivo é sempre por link assinado de curta duração, emitido depois da verificação de permissão.
• Resumo criptográfico calculado na entrada de cada documento e reconferido a cada download e na entrega da pasta consolidada. Substituir um arquivo cria versão nova em vez de sobrescrever a anterior.
• Sessão em cookie que o JavaScript da página não consegue ler, o que impede que uma falha de script vire sequestro de sessão.
• Convite do portal com token de uso único, válido por sete dias, guardado apenas como hash e revogado a cada reenvio.
• Histórico de eventos que não aceita alteração nem exclusão, com os registros encadeados por hash.

Contato enviado pelo site: 24 meses a partir do envio do formulário.

Documentos e dados de um prestador: pelo prazo de retenção configurado para a organização, contado a partir do fim da prestação de serviço. O padrão é de 72 meses e ele é parametrizável por contrato. A razão é prática e vale a pena estar escrita: a discussão sobre uma relação de trabalho pode começar depois de ela terminar, e guardar de menos é o único erro irreversível dos dois.

Pendências operacionais fechadas são descartadas 90 dias depois do fechamento, e hoje esse descarte é conduzido com registro, não por rotina automática. O que permanece é o par de registros datados — o que faltava e quando foi resolvido —, e não a pendência em si.

Enquanto houver processo em curso relacionado a um documento, o descarte fica bloqueado, independentemente da data. Descartado o arquivo, permanece o registro de que ele existiu e de quando saiu: ausência silenciosa informa menos que descarte documentado.

A Lei Geral de Proteção de Dados, no art. 18, assegura ao titular o direito de obter confirmação da existência de tratamento; acesso aos dados; correção de dados incompletos, inexatos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei; portabilidade a outro fornecedor, mediante requisição expressa; eliminação dos dados tratados com base no consentimento, ressalvadas as hipóteses de conservação previstas no art. 16; informação sobre as entidades com as quais houve uso compartilhado; informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa; e revogação do consentimento.

Para exercer qualquer um deles, escreva pelo canal indicado no fim desta página. Respondemos por escrito. Quando o pedido se referir a dado do qual a controladora é uma empresa contratante — o caso típico do prestador —, encaminhamos o pedido a ela e informamos você de que isso foi feito.

Se o seu pedido não puder ser atendido por inteiro, você recebe a razão, e não uma recusa sem explicação.

Há um conflito aparente entre o direito de eliminação e um histórico que, por desenho, não aceita exclusão. Vale explicar como ele é resolvido, porque a resposta é a mesma para todo mundo e é melhor lê-la aqui do que descobri-la num pedido.

O histórico guarda o nome de quem executou cada ação como texto, e não como cadastro vivo. Atendendo a um pedido de eliminação, esse nome é substituído por um identificador sem conteúdo pessoal, e a substituição em si vira um registro datado. O evento continua legível — “documento anexado em 22/03” —, e deixa de apontar para uma pessoa.

Documento que sustenta a defesa de uma parte em discussão sobre uma relação contratual não é eliminável a simples pedido enquanto durar a base legal que autoriza conservá-lo, que é o exercício regular de direitos em processo judicial, administrativo ou arbitral. Nesse caso o tratamento é restringido ao necessário e o documento sai quando o prazo de retenção termina, na forma da seção anterior.

Este aviso muda quando o produto muda, e a data da última revisão fica visível no topo da página. Alterações relevantes para quem já tem conta são comunicadas por e-mail e na própria plataforma.

Versões anteriores podem ser solicitadas pelo mesmo canal de contato.