Política de Privacidade da ContaClara

1. Quem somos — Controlador e Encarregado de Dados

A ContaClara é operada por AtraND ND Ltda., inscrita no CNPJ sob nº 28.726.886/0001-83, com sede em Campo Grande/MS, divisão Adrion Telecom do Grupo Adrion.

Para fins desta política, a AtraND ND Ltda. atua como:

• Controladora dos dados de cadastro dos usuários da Plataforma (nome, e-mail corporativo, telefone, CNPJ do cliente, dados de cobrança);
• Operadora (em nome do cliente Controlador) dos dados constantes nas faturas, contratos, linhas e CNPJs carregados na Plataforma.

Encarregado de Tratamento de Dados (DPO): equipe ContaClara — contato dedicado dpo@usecontaclara.com.br.

2. A quem esta política se aplica

Esta política aplica-se a:

• visitantes do site usecontaclara.com.br;
• usuários cadastrados na Plataforma app.usecontaclara.com.br;
• representantes legais e prepostos de pessoas jurídicas clientes;
• titulares de dados eventualmente presentes em faturas processadas pelo cliente (ex.: nome do colaborador associado a uma linha corporativa).

Não atendemos consumidor pessoa física para uso doméstico — a Plataforma é exclusivamente B2B.

3. Dados que coletamos

Coletamos categorias distintas de dados conforme o ponto de relação com a ContaClara:

3.1 Visitantes do site

• IP, user-agent, página acessada, referenciador, timestamp (logs de servidor — retenção 90 dias);
• cookies essenciais e analíticos conforme item 9.

3.2 Usuários cadastrados na Plataforma

• Identificação: nome completo, e-mail corporativo, telefone, cargo;
• Vínculo organizacional: CNPJ do cliente, razão social, nome fantasia, papel na conta;
• Credenciais: senha (armazenada com hash bcrypt + salt), tokens MFA quando habilitado, identificadores de sessão;
• Cobrança: razão social, CNPJ, endereço de cobrança, dados de pagamento (processados diretamente pelo gateway Asaas — a ContaClara não armazena número de cartão);
• Trilha de uso: páginas acessadas dentro da Plataforma, ações realizadas (upload, exportação, alteração de cadastro), timestamps e IP — para fins de auditoria.

3.3 Dados constantes nas faturas processadas

Quando o cliente faz upload de uma fatura de telecom, podem constar:

• razão social, CNPJ, endereço fiscal do cliente e de suas filiais;
• números de linhas corporativas (DDDs + telefones), terminais de dados, IMEIs em alguns casos;
• centro de custo, departamento, identificação interna de ramal;
• opcionalmente, em alguns padrões de fatura: nome do colaborador associado à linha corporativa;
• valores cobrados, planos contratados, franquias, consumo agregado e por linha;
• histórico de chamadas detalhado apenas quando o cliente explicitamente importa o detalhado da operadora — não solicitamos detalhado por padrão.

A presença de dados pessoais de colaboradores nas faturas é responsabilidade do cliente (Controlador) — a ContaClara atua como Operadora desses dados, processando-os exclusivamente nas finalidades autorizadas e descritas no DPA assinado com o cliente.

4. Para que usamos os dados — finalidades e bases legais

Tratamos dados pessoais apenas para finalidades específicas e amparadas em base legal da LGPD:

Finalidade	Base legal (LGPD)
Executar o contrato de prestação de serviço da Plataforma	Art. 7º, V — execução de contrato
Emitir cobrança, NF-e e gerir inadimplência	Art. 7º, II — cumprimento de obrigação legal
Atender solicitações de suporte e correção de bug	Art. 7º, V — execução de contrato
Identificar anomalias de fatura e gerar laudos	Art. 7º, V — execução de contrato
Manter auditoria de acesso (segurança da informação)	Art. 7º, IX — interesse legítimo
Comunicar atualizações de produto e operacionais	Art. 7º, V — execução de contrato
Enviar conteúdo de marketing / newsletter	Art. 7º, I — consentimento, com opt-out a qualquer momento
Defender direitos em processo judicial / administrativo	Art. 7º, VI — exercício regular de direitos
Atender requisição de autoridade competente	Art. 7º, II — cumprimento de obrigação legal

Não vendemos dados pessoais, não utilizamos dados de clientes para alimentar modelos de terceiros e não exibimos publicidade direcionada baseada em dados de fatura.

5. Dados agregados e anonimizados

A ContaClara pode utilizar dados agregados, anonimizados e irreversivelmente dissociados dos clientes para:

• melhoria de modelos de detecção de anomalia;
• benchmarking de mercado (ex.: "preço médio de plano corporativo por linha por região");
• produção de relatórios públicos sobre o setor.

Dados anonimizados deixam de ser dados pessoais para fins da LGPD (art. 12), desde que o processo de anonimização seja irreversível.

6. Com quem compartilhamos dados — subprocessadores

Compartilhamos dados estritamente necessários com fornecedores que sustentam a operação da Plataforma. Todos os subprocessadores estão obrigados a cláusulas contratuais de proteção de dados:

Fornecedor	Função	Dados processados	Localização
Hetzner Online GmbH	Cloud / hospedagem da Plataforma	Todos os dados da Plataforma	Falkenstein, Alemanha (EU-DE)
Supabase Inc.	Banco de dados gerenciado, autenticação	Dados cadastrais e operacionais	Brasil — região sa-east-1
Asaas Tecnologia S.A.	Gateway de pagamento, Pix, boleto, cartão	Dados de cobrança e transação	Brasil (Joinville/SC)
eNotas	Emissão de NF-e	Dados fiscais do cliente	Brasil
MailerSend	E-mail transacional (recuperação de senha, notificações)	E-mail e conteúdo da mensagem	União Europeia
Listmonk (auto-hospedado)	Newsletter, e-mail de marketing com opt-in	E-mail, nome, preferências de inscrição	Hetzner — Falkenstein, Alemanha
Chatwoot (auto-hospedado)	Suporte por chat	Histórico de conversa de suporte	Hetzner — Falkenstein, Alemanha
Uptime Kuma (auto-hospedado)	Monitoramento de disponibilidade	Métricas de uptime — sem dados de cliente	Hetzner — Falkenstein, Alemanha

Mudanças na lista de subprocessadores serão comunicadas com 30 dias de antecedência via e-mail ao representante do cliente e nesta página. O cliente terá direito de objetar; caso a objeção seja procedente e não haja substituição viável, poderá rescindir sem multa.

7. Transferência internacional de dados

A hospedagem principal da Plataforma é realizada na União Europeia (Hetzner — Falkenstein/Alemanha), jurisdição reconhecida pela ANPD como adequada para transferência internacional de dados (art. 33, I, LGPD).

Outros provedores envolvidos (MailerSend, Asaas, Supabase) operam em jurisdições reconhecidamente adequadas ou sob cláusulas contratuais padrão de proteção de dados aplicáveis à transferência internacional (art. 33, II e VIII).

8. Retenção de dados

Aplicamos prazos de retenção compatíveis com a finalidade do tratamento e legislação aplicável:

Categoria de dado	Prazo de retenção
Logs de acesso do servidor web	90 dias
Audit trail interno (quem viu o quê, quando)	5 anos (art. 11, MCI — Marco Civil da Internet)
Faturas processadas e laudos	36 meses após o encerramento do contrato (alinhado a Anatel Res. 632/2014 art. 133)
Documentos fiscais (NF-e emitidas pelo cliente)	5 anos (prazo legal tributário)
Dados cadastrais ativos	Enquanto vigente o contrato + 5 anos prescricionais
Cookies analíticos	13 meses
Backup criptografado completo	30 dias rolling — retenção fora da Plataforma

Após o decurso do prazo, os dados são excluídos ou anonimizados, ressalvada a manutenção exigida por obrigação legal ou regulatória.

9. Cookies e tecnologias similares

Utilizamos as seguintes categorias de cookies:

• Essenciais (sessão, autenticação, segurança): indispensáveis ao funcionamento, dispensam consentimento;
• Funcionais (preferência de idioma, último painel aberto): facilitam a navegação;
• Analíticos (Plausible auto-hospedado): mensuram tráfego de forma agregada, sem identificação individual e sem cookie de terceiro;
• Marketing: não utilizamos cookies de remarketing/publicidade no painel autenticado. Em campanhas pontuais no site marketing, eventuais cookies só são ativados após consentimento explícito.

O usuário pode bloquear cookies a qualquer momento nas configurações do navegador. O bloqueio de cookies essenciais pode prejudicar o funcionamento da Plataforma.

10. Segurança da informação

Mantemos controles técnicos e organizacionais proporcionais ao risco — detalhamento técnico completo em /seguranca. Resumo das principais salvaguardas:

• Isolamento multi-tenant via Row Level Security do Postgres — cada cliente vê apenas seus próprios dados, validado por testes automatizados a cada release;
• Criptografia em trânsito: TLS 1.3 em todas as conexões;
• Criptografia em repouso: AES-256 em banco e backups;
• Senhas: hash bcrypt + salt — não armazenamos texto plano;
• MFA opcional por TOTP — disponível para todos os usuários;
• Audit log imutável de acesso a dados sensíveis — 5 anos retenção;
• Backup automatizado com criptografia, rolling 30 dias, restauração testada trimestralmente;
• Plano de resposta a incidentes com prazo máximo de notificação à ANPD e clientes em 72 horas da confirmação do incidente de segurança que represente risco a titulares.

11. Direitos do titular de dados — art. 18 LGPD

Como titular de dados pessoais, você pode exercer a qualquer momento, mediante solicitação ao DPO:

• (I) confirmação da existência de tratamento;
• (II) acesso aos dados;
• (III) correção de dados incompletos, inexatos ou desatualizados;
• (IV) anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
• (V) portabilidade dos dados a outro fornecedor de serviço, observado segredo comercial e industrial;
• (VI) eliminação dos dados tratados com consentimento, ressalvadas as hipóteses do art. 16;
• (VII) informação sobre entidades públicas e privadas com as quais foram compartilhados dados;
• (VIII) informação sobre a possibilidade de não fornecer consentimento e as consequências;
• (IX) revogação do consentimento, quando aplicável.

Como exercer: e-mail para dpo@usecontaclara.com.br com (a) descrição do pedido, (b) identificação do titular e vínculo com cliente (quando aplicável). Respondemos em até 15 dias corridos contados do recebimento do pedido.

Se o titular for colaborador de cliente cuja fatura é processada na Plataforma, encaminharemos o pedido ao cliente Controlador, que tem o dever primário de resposta — e prestaremos apoio operacional.

12. Comunicação de incidentes de segurança

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos:

• a ANPD em prazo razoável — buscamos sempre 72h da confirmação, em alinhamento ao art. 48 LGPD;
• os clientes Controladores afetados, em prazo equivalente e por canal direto;
• os titulares, quando exigido pela ANPD ou por avaliação de risco.

A comunicação conterá: descrição do incidente, dados envolvidos, riscos identificados, medidas adotadas e canais para esclarecimento.

13. Crianças e adolescentes

A Plataforma é destinada exclusivamente a relações B2B entre pessoas jurídicas e seus prepostos maiores de 18 anos. Não tratamos intencionalmente dados pessoais de menores de 18 anos. Caso tenhamos conhecimento de tratamento involuntário de tais dados, removeremos prontamente.

14. Alterações desta política

Esta política pode ser alterada para refletir mudanças legais, técnicas ou operacionais. Alterações materiais serão comunicadas com 30 dias de antecedência via e-mail ao representante cadastrado e banner na Plataforma. Versões anteriores ficam arquivadas e acessíveis sob demanda ao DPO.

15. Reclamação à ANPD

O titular pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD), especialmente se não obtiver resposta satisfatória ao exercer seus direitos. Contato: www.gov.br/anpd.

16. Contato

• Encarregado de Tratamento de Dados (DPO): dpo@usecontaclara.com.br
• Suporte: suporte@usecontaclara.com.br
• Comercial: contato@usecontaclara.com.br

---

AtraND ND Ltda. · CNPJ 28.726.886/0001-83 · Campo Grande/MS · Grupo Adrion — Divisão Adrion Telecom.