Segurança e privacidade

1. Papéis no tratamento de dados

Em relação aos dados dos usuários da Plataforma (nome, e-mail, credenciais, registros de acesso e preferências), a GWise atua como controladora: decide as finalidades e os meios do tratamento, necessários à prestação do serviço.

Em relação aos Dados do Cliente inseridos por cada Conta (cadastros de clientes, fornecedores e colaboradores, documentos fiscais, lançamentos financeiros, agenda, arquivos), a Conta é a controladora e a GWise atua como operadora: trata esses dados exclusivamente conforme as instruções da Conta, para executar as funcionalidades contratadas. Cabe à Conta assegurar a base legal para o tratamento dos dados que insere e atender aos direitos dos titulares perante seus próprios clientes.

2. Dados que coletamos

• Dados de cadastro e conta: nome, e-mail, telefone, foto de perfil (opcional), empresa, CNPJ ou CPF, inscrições fiscais, endereço e dados do plano contratado.
• Dados inseridos pela Conta no uso da Plataforma: cadastros de clientes, fornecedores, colaboradores, equipamentos, produtos e serviços; documentos fiscais e seus XMLs; ordens de serviço, orçamentos, pedidos, contratos e lançamentos financeiros; mensagens enviadas a clientes; anexos, fotos e assinaturas.
• Credenciais de integração: certificado digital A1 e sua senha, senhas de SMTP, tokens de provedores de pagamento, tokens de prefeituras e conexões OAuth (Google, Cora), informados pela Conta para executar as integrações.
• Dados de uso e segurança: endereço IP, identificação do navegador, data e hora de acesso, ações relevantes registradas em trilha de auditoria, erros técnicos e, nos links públicos enviados a clientes, o registro do primeiro acesso.
• Dados dos formulários públicos: ao preencher uma ficha de cadastro, uma autorização de serviço, um agendamento ou o formulário Fale conosco, coletamos os dados que você informa, para o fim indicado em cada formulário.

O aplicativo GWise OS para Android abre esta mesma Plataforma no navegador Google Chrome do aparelho e não coleta dados além dos descritos nesta Política. Ele não lê contatos, localização, câmera nem arquivos por conta própria: a câmera e os arquivos só são usados quando você escolhe anexar uma foto ou um documento, pelo seletor do próprio aparelho. A única permissão que o aplicativo pede é a de notificações, para os avisos que você decidir ligar.

3. Finalidades e bases legais

Tratamos dados pessoais para:

• prestar o serviço contratado, executar as funcionalidades dos módulos e cumprir obrigações contratuais (base legal: execução de contrato);
• emitir, transmitir, guardar e disponibilizar documentos fiscais e cumprir obrigações legais e regulatórias perante o Fisco e demais autoridades (base legal: cumprimento de obrigação legal);
• autenticar usuários, prevenir fraudes, abusos e acessos não autorizados, manter registros de auditoria e garantir a segurança da Plataforma (base legal: legítimo interesse e cumprimento de obrigação legal, inclusive a guarda de registros de acesso prevista no Marco Civil);
• enviar comunicações operacionais, como convites de acesso, recuperação de senha, avisos de vencimento de certificado, lembretes e notificações do sistema (base legal: execução de contrato);
• responder a solicitações de suporte e contato (base legal: execução de contrato e legítimo interesse);
• melhorar a Plataforma a partir de métricas de uso agregadas e do diagnóstico de erros técnicos (base legal: legítimo interesse).

Não vendemos dados pessoais nem os utilizamos para publicidade de terceiros.

4. Compartilhamento de dados

Compartilhamos dados apenas quando necessário à prestação do serviço, com:

• autoridades fiscais (Secretarias de Fazenda, prefeituras, Sistema Nacional da NFS-e e Ambiente Nacional), para a emissão, consulta e eventos dos documentos fiscais solicitados pela Conta;
• provedores de infraestrutura e hospedagem, como o Supabase (banco de dados, autenticação e armazenamento de arquivos) e a Hostinger (hospedagem da aplicação), que operam sob contratos de confidencialidade e medidas de segurança adequadas;
• provedores de pagamento escolhidos pela Conta (Iugu, Mercado Pago, Cora, Efí), para gerar cobranças e confirmar recebimentos;
• serviços ativados pela Conta: Google Agenda, serviços de e-mail (SMTP) e a tabela de tributos aproximados do IBPT, que recebe o CNPJ da empresa para devolver os percentuais de tributos;
• serviços públicos consultados diretamente pelo seu navegador quando você usa a função correspondente: BrasilAPI (recebe o CNPJ consultado), ViaCEP (recebe o CEP digitado), IBGE (lista de municípios) e Nominatim, do projeto OpenStreetMap (recebe o endereço exibido no mapa do cadastro de cliente);
• serviços de entrega de notificações dos navegadores (como o do Google, usado pelo Chrome e pelo aplicativo Android), quando você liga os avisos no aparelho: eles recebem o aviso já cifrado, sem acesso ao seu conteúdo, e o identificador da inscrição daquele aparelho;
• serviço de monitoramento de erros técnicos (Sentry), que recebe informações sobre falhas da aplicação com o mínimo de dados pessoais necessário ao diagnóstico;
• destinatários indicados pela própria Conta, como clientes que recebem documentos, links de acompanhamento e cobranças, e o contador que recebe o pacote mensal;
• autoridades públicas, quando exigido por lei, ordem judicial ou para a defesa de direitos.

Alguns desses provedores podem armazenar dados fora do Brasil. Nesses casos, a transferência internacional ocorre com as salvaguardas previstas na LGPD, por meio de contratos e certificações adequadas.

5. Segurança da informação

Adotamos medidas técnicas e administrativas para proteger os dados contra acesso não autorizado, perda, alteração ou divulgação indevida, entre elas:

• isolamento por conta (multi-tenant) aplicado no próprio banco de dados, por políticas de segurança em nível de linha, de modo que cada empresa só alcança os seus dados;
• criptografia em trânsito (TLS) em todas as comunicações, inclusive com as autoridades fiscais, com validação das cadeias de certificação;
• criptografia em repouso, com algoritmo AES-256-GCM e chave mestra exclusiva do ambiente, para certificados digitais, senhas de SMTP, tokens de integração e demais credenciais informadas pela Conta;
• armazenamento de senhas de acesso apenas na forma de hash, sem possibilidade de recuperação do texto original;
• controle de acesso por papéis e permissões, definido pelo titular de cada Conta, e trilha de auditoria das ações relevantes;
• links públicos protegidos por tokens aleatórios de alta entropia, revogáveis pela Conta, que nunca expõem identificadores internos;
• limitação de tentativas de acesso, proteção contra automações abusivas e cabeçalhos de segurança no navegador;
• cópias de segurança cifradas e procedimentos de restauração testados.

Nenhum sistema é totalmente imune a incidentes. Caso ocorra um incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a GWise comunicará a Autoridade Nacional de Proteção de Dados (ANPD) e as Contas afetadas nos prazos e na forma previstos na legislação.

6. Cookies e armazenamento local

A Plataforma não utiliza cookies de publicidade nem rastreamento de terceiros. Utilizamos o armazenamento local do navegador apenas para manter a sessão autenticada e guardar preferências de uso do aparelho, como tema claro ou escuro, ordem do menu, filtros da agenda e preferência de abertura do WhatsApp. Essas informações ficam no seu dispositivo e podem ser apagadas a qualquer momento pelas configurações do navegador.

7. Retenção dos dados

Mantemos os dados pelo tempo necessário às finalidades descritas nesta Política. Dados de conta e de uso são mantidos durante a vigência da Conta e por até 90 (noventa) dias após o seu encerramento, para consulta e exportação. Documentos fiscais eletrônicos, seus XMLs e registros de transmissão são guardados pelo prazo exigido pela legislação tributária. Registros de acesso à aplicação são mantidos por, no mínimo, 6 (seis) meses, conforme o Marco Civil da Internet. Após os prazos aplicáveis, os dados são excluídos ou anonimizados.

8. Direitos dos titulares

Nos termos da LGPD, você pode solicitar, a qualquer momento: a confirmação da existência de tratamento; o acesso aos seus dados; a correção de dados incompletos, inexatos ou desatualizados; a anonimização, o bloqueio ou a eliminação de dados desnecessários ou tratados em desconformidade; a portabilidade; a informação sobre compartilhamentos; a revogação do consentimento, quando essa for a base legal; e a oposição a tratamentos baseados em legítimo interesse.

Se os seus dados foram inseridos na Plataforma por uma empresa cliente (por exemplo, como cliente ou fornecedor dela), a solicitação deve ser dirigida a essa empresa, que é a controladora. A GWise apoiará a Conta no atendimento do pedido.

As solicitações podem ser feitas pela página Fale conosco ou pelo e-mail suporte@gwiseos.com, e serão respondidas nos prazos previstos na legislação. Podemos solicitar informações para confirmar a sua identidade antes de atender ao pedido.

Para excluir a sua conta de usuário e os dados ligados a ela, siga os passos da página gwiseos.com/excluir-conta, também acessível em Meu perfil, dentro da Plataforma e do aplicativo. O pedido é atendido em até 15 (quinze) dias, e a página explica o que é apagado e o que precisa ser guardado por obrigação legal.

9. Dados de menores

A Plataforma destina-se a empresas e profissionais, e não é dirigida a menores de 18 anos. Não coletamos intencionalmente dados pessoais de crianças ou adolescentes como usuários do sistema. Caso uma Conta insira dados de menores em seus cadastros (por exemplo, como dependentes ou responsáveis), cabe a ela observar as regras específicas da LGPD para esse tratamento.

10. Encarregado pelo tratamento de dados

O encarregado pelo tratamento de dados pessoais (DPO) da GWise pode ser contatado pelo e-mail suporte@gwiseos.com, para dúvidas, solicitações dos titulares e comunicações da Autoridade Nacional de Proteção de Dados.

11. Alterações desta Política

Esta Política pode ser atualizada para refletir mudanças na legislação, nos serviços ou nas práticas de tratamento. A versão vigente, com a data da última revisão, fica sempre disponível em gwiseos.com/privacidade. Alterações relevantes serão comunicadas na Plataforma ou por e-mail.