Política de Privacidade

Última atualização: 12 de julho de 2026

Esta Política de Privacidade explica como o aplicativo O Vidraceiro ERP ("O Vidraceiro ERP", "aplicativo", "nós") coleta, usa, compartilha, armazena e protege dados pessoais, em conformidade com a Lei Geral de Proteção de Dados — Lei nº 13.709/2018 (LGPD) e com o Marco Civil da Internet — Lei nº 12.965/2014.

1. Quem somos (Controlador dos dados)

O aplicativo é fornecido e mantido sob a marca O Vidraceiro ERP, nome pelo qual operamos o serviço. Somos uma pessoa jurídica regularmente constituída no Brasil.

Identificação completa do controlador: a razão social, o número de inscrição no CNPJ e o endereço do controlador são informados mediante solicitação, de forma gratuita, a qualquer titular que os requeira pelo e-mail do encarregado indicado abaixo. Responderemos em até 15 (quinze) dias.

Encarregado pelo Tratamento de Dados Pessoais (DPO — art. 41 da LGPD):
E-mail: suporte@ovidraceiroerp.com.br

Use esse mesmo e-mail para exercer qualquer direito previsto nesta Política, tirar dúvidas sobre privacidade ou comunicar um problema de segurança.

2. Dois papéis diferentes: controlador e operador

O Vidraceiro ERP é um sistema de gestão usado por vidraçarias. Por isso, tratamos dados pessoais em dois papéis distintos, e é importante que você saiba qual deles se aplica ao seu caso.

2.1. Somos CONTROLADORES dos dados da sua conta

Quando você contrata e usa o aplicativo, nós decidimos como tratar os dados da sua conta e da sua empresa (cadastro, login, assinatura, segurança e suporte). Nesses casos, somos o controlador, e é a nós que você deve dirigir os seus pedidos.

2.2. Somos OPERADORES dos dados que você cadastra no sistema

Os dados que a sua empresa insere no sistema sobre outras pessoas — clientes finais, fornecedores, funcionários, arquitetos, vendedores e prestadores — pertencem à sua empresa. Nós apenas os armazenamos e processamos seguindo as suas instruções, para que o sistema funcione.

• A sua empresa é a controladora desses dados. É ela que decide quais dados cadastrar, com que finalidade e por quanto tempo — e é ela a responsável por ter uma base legal válida para isso e por informar os seus próprios clientes.
• Nós somos o operador (art. 5º, VII, da LGPD): não usamos esses dados para finalidade própria, não os vendemos e não os compartilhamos além do necessário para prestar o serviço.

3. Dados que tratamos como controlador

3.1. Dados que você nos fornece

• Cadastro e login: nome, e-mail e senha. O acesso ao aplicativo é feito exclusivamente por e-mail e senha, com confirmação de e-mail e verificação de segurança (captcha). A sua senha é guardada de forma cifrada pelo serviço de autenticação e não fica visível para nós.
• Dados da sua empresa: razão social, nome fantasia, CNPJ, inscrições, endereço, telefone, logotipo e parâmetros fiscais usados para emitir notas.
• Dados de pagamento da assinatura: nome e e-mail do pagador, e os dados do cartão de crédito. Os dados do cartão são enviados diretamente ao Mercado Pago, que os converte em um código temporário (token). O número completo do cartão e o código de segurança (CVV) não são armazenados nos nossos servidores.
• Conteúdo de suporte: as mensagens que você nos envia quando pede ajuda.

3.2. Dados coletados automaticamente

• Endereço IP: registrado a cada tentativa de login (bem ou malsucedida) para detectar ataques de força bruta e acessos indevidos. Podemos bloquear um IP, uma faixa de IPs ou uma conta diante de um padrão de abuso.
• Registros de acesso e de segurança: data e hora do acesso, resultado do login, plataforma usada (Android, iOS, web ou Windows) e eventos de comportamento anômalo (por exemplo, muitas tentativas seguidas).
• Localização: usada apenas para mostrar a previsão do tempo na tela inicial. Ela pode vir de duas fontes:
  • GPS do aparelho (localização precisa) — somente no celular e somente se você autorizar a permissão. Se você recusar, o aplicativo continua funcionando normalmente.
  • Estimativa pelo endereço IP (localização aproximada) — usada quando não há permissão de GPS ou no computador. Nesse caso, o seu aparelho não se comunica com nenhum serviço de geolocalização: quem faz a consulta é o nosso servidor, que envia o seu endereço IP ao serviço ipwho.is por conexão cifrada (HTTPS) e recebe de volta a cidade e as coordenadas aproximadas.
• Identificador de notificações: um token do Firebase Cloud Messaging, vinculado ao aparelho, para entregar avisos e lembretes.
• Dados técnicos e de integridade: informações de diagnóstico e verificação de autenticidade do aplicativo (Firebase App Check), para impedir o uso do sistema por aplicativos falsificados.

3.3. Permissões do aparelho

O aplicativo só pede as permissões de que realmente precisa:

• Internet e estado da rede: indispensáveis para sincronizar os dados na nuvem.
• Notificações: para enviar avisos, lembretes de agenda e alertas do sistema.
• Câmera e galeria de fotos: acionadas apenas quando você escolhe anexar uma imagem (logotipo, foto de produto, vistoria ou documento).
• Localização (opcional): apenas para a previsão do tempo. Recusar essa permissão não bloqueia nenhuma outra função.

Você pode conceder ou revogar essas permissões a qualquer momento nas configurações do seu aparelho.

4. Dados que tratamos como operador (cadastrados pela sua empresa)

A pedido e sob instrução da sua empresa, o sistema armazena e processa, entre outros:

• Clientes, fornecedores, arquitetos, vendedores e prestadores: nome, CPF ou CNPJ, endereço, telefone, e-mail e histórico de negócios.
• Funcionários: dados cadastrais e informações de RH lançadas pela empresa.
• Operações: orçamentos, pedidos, ordens de serviço, vistorias, medições, agenda, estoque e lançamentos financeiros.
• Documentos fiscais: NF-e e NFS-e, que contêm os dados do destinatário exigidos pela legislação tributária.
• Contratos e assinaturas: contratos em PDF, nome completo, documento de identificação (CPF/RG) e a imagem da assinatura coletada no fluxo de assinatura digital, nos termos da Lei nº 14.063/2020.

Não acessamos esse conteúdo para finalidades próprias. O acesso da nossa equipe técnica ocorre apenas quando indispensável para suporte, correção de falhas, segurança ou cumprimento de obrigação legal, sempre de forma restrita e registrada.

5. Finalidades e bases legais (arts. 7º e 10 da LGPD)

Tratamos dados pessoais somente com uma base legal definida para cada finalidade:

• Criar e manter a sua conta, autenticar o acesso e fornecer as funções de gestão — base legal: execução de contrato (art. 7º, V).
• Armazenar e processar os dados que a sua empresa cadastra — base legal: execução de contrato (art. 7º, V), na qualidade de operador, seguindo as instruções da empresa controladora.
• Emitir notas fiscais e transmiti-las à SEFAZ e à prefeitura; guardar documentos fiscais — base legal: cumprimento de obrigação legal ou regulatória (art. 7º, II).
• Cobrar e gerenciar a assinatura, inclusive prevenir inadimplência — base legal: execução de contrato (art. 7º, V).
• Registrar IP e eventos de login; bloquear contas, IPs e faixas de IP; prevenir fraude e uso abusivo — base legal: legítimo interesse (art. 7º, IX), na proteção do serviço e dos demais usuários, e cumprimento de obrigação legal quanto à guarda de registros de acesso (art. 15 do Marco Civil da Internet).
• Enviar notificações operacionais e lembretes do sistema — base legal: execução de contrato (art. 7º, V).
• Exibir a previsão do tempo com base na localização — base legal: consentimento (art. 7º, I) quando a localização vem do GPS, o qual você pode revogar a qualquer momento nas configurações do aparelho; e legítimo interesse (art. 7º, IX) na estimativa aproximada por IP, limitada a essa finalidade.
• Prestar suporte técnico — base legal: execução de contrato (art. 7º, V).
• Operar o assistente virtual "Vidrinho" — base legal: execução de contrato (art. 7º, V). Veja a seção 7.
• Exercer direitos em processo judicial, administrativo ou arbitral — base legal: art. 7º, VI.

6. Com quem compartilhamos dados

Não vendemos dados pessoais e não os cedemos para publicidade. Compartilhamos informações apenas com os prestadores necessários para o funcionamento do serviço, que atuam como operadores e estão obrigados a protegê-las:

• Google / Firebase (Google LLC e Google Cloud) — autenticação, banco de dados, armazenamento de arquivos, funções de servidor, notificações e verificação de integridade do aplicativo. É onde os dados do sistema ficam hospedados.
• Google Forms — usado no fluxo de assinatura digital de contratos, para receber o nome, o documento (CPF/RG), o contrato em PDF e a imagem da assinatura do signatário.
• Anthropic — provedor do modelo de inteligência artificial que responde pelo assistente "Vidrinho". Veja a seção 7.
• Focus NFe — provedor que transmite as notas fiscais eletrônicas (NF-e e NFS-e) aos órgãos competentes.
• SEFAZ, prefeituras e demais órgãos fiscais — recebem os dados das notas fiscais, conforme exigido por lei.
• Mercado Pago — processa o pagamento da assinatura e recebe os dados do cartão diretamente, sem que eles transitem pelos nossos servidores.
• OpenWeather — recebe apenas coordenadas geográficas para devolver a previsão do tempo. A consulta é feita pelo nosso servidor; o seu aparelho não se comunica com a OpenWeather. Não recebe o seu nome nem o seu e-mail.
• ipwho.is — serviço de geolocalização por IP. Recebe apenas o endereço IP, para estimar a cidade quando a localização por GPS não está disponível. O envio é feito pelo nosso servidor, por conexão cifrada (HTTPS), e não pelo seu aparelho.
• ViaCEP — consulta pública de endereço a partir do CEP digitado.
• Provedor de e-mail (SMTP) — envia os documentos e as mensagens que você solicita. Quando a sua empresa configura o próprio servidor de e-mail, o envio é feito por esse servidor, sob a responsabilidade dela.

Também poderemos compartilhar dados para cumprir ordem judicial, requisição de autoridade competente ou obrigação legal, e para exercer ou defender direitos em processo.

7. Assistente virtual "Vidrinho" (inteligência artificial)

O aplicativo oferece um assistente virtual que responde a perguntas e ajuda em tarefas do dia a dia. Para gerar as respostas, o conteúdo da sua conversa e os dados do sistema necessários para responder (por exemplo, um orçamento, um pedido ou um compromisso de agenda) são enviados, por meio de um servidor nosso, ao provedor de inteligência artificial Anthropic, localizado no exterior.

• O histórico das conversas fica guardado na sua conta e pode ser apagado por você a qualquer momento.
• O assistente pode consultar fontes públicas na internet (como buscadores) para responder a perguntas gerais.
• Não use o assistente para inserir dados pessoais desnecessários. Evite enviar informações sensíveis ou de terceiros que não sejam indispensáveis à tarefa.

8. Transferência internacional de dados (art. 33 da LGPD)

Os nossos servidores de banco de dados, arquivos e funções estão hospedados na infraestrutura do Google Cloud / Firebase, em data centers localizados nos Estados Unidos. Isso significa que os seus dados — e os dados que a sua empresa cadastra — são armazenados e processados fora do Brasil.

Também há transferência internacional para:

• Anthropic (Estados Unidos) — conteúdo enviado ao assistente "Vidrinho";
• OpenWeather — coordenadas geográficas, enviadas pelo nosso servidor;
• ipwho.is — endereço IP, enviado pelo nosso servidor por conexão cifrada (HTTPS), apenas para estimar a cidade;
• Google (Estados Unidos) — autenticação, notificações, armazenamento e formulários de assinatura.

Essas transferências são necessárias para a execução do contrato firmado com você (art. 33, VI e VIII, da LGPD) e ocorrem ao amparo das cláusulas contratuais e das garantias de proteção de dados oferecidas por esses fornecedores. Exigimos que todos adotem medidas de segurança compatíveis com a LGPD. Ao usar o aplicativo, você está ciente de que o tratamento ocorre nesses termos.

9. Armazenamento e segurança

Adotamos medidas técnicas e administrativas para proteger os dados, entre elas:

• Criptografia em trânsito na comunicação com os nossos servidores e criptografia dos dados em repouso pela infraestrutura de nuvem.
• Isolamento por empresa: cada vidraçaria só enxerga os próprios dados, com regras de acesso aplicadas no servidor.
• Controle de acesso por perfil (empresa, vendedor, arquiteto, prestador), com permissões distintas.
• Defesa contra ataques: verificação antes do login, detecção de força bruta, bloqueio de contas e de IPs e verificação de integridade do aplicativo.
• Backups cifrados (AES-256-GCM), com senha, guardados em armazenamento restrito.

Nenhum sistema é totalmente imune a incidentes. Por isso, mantenha a sua senha em sigilo, não a compartilhe e avise-nos imediatamente se suspeitar de acesso indevido à sua conta.

10. Comunicação de incidentes de segurança (art. 48 da LGPD)

Se ocorrer um incidente de segurança que possa acarretar risco ou dano relevante aos titulares, nós:

• comunicaremos o fato à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares afetados em prazo razoável, conforme a regulamentação vigente;
• informaremos a natureza dos dados atingidos, os riscos envolvidos, as medidas adotadas para reverter ou reduzir os efeitos e o que você pode fazer para se proteger;
• quando o incidente atingir dados sob o nosso papel de operador, comunicaremos a empresa controladora sem demora injustificada, para que ela cumpra os seus próprios deveres legais.

11. Por quanto tempo guardamos os dados

• Dados da conta e dados operacionais: enquanto a sua conta estiver ativa. Após o encerramento, são excluídos ou anonimizados em até 30 dias, ressalvadas as hipóteses abaixo.
• Documentos fiscais (NF-e, NFS-e) e registros contábeis: mantidos por, no mínimo, 5 (cinco) anos, por imposição da legislação tributária, mesmo após o fim da conta.
• Contratos assinados: mantidos enquanto puderem produzir efeitos jurídicos e pelos prazos de prescrição aplicáveis.
• Registros de acesso e eventos de segurança: os eventos de risco baixo e médio são guardados por 6 (seis) meses — 180 dias e depois apagados automaticamente. Esse prazo cumpre o art. 15 da Lei nº 12.965/2014 (Marco Civil da Internet), que impõe a guarda dos registros de acesso à aplicação por, no mínimo, 6 meses. Os eventos de risco alto ou crítico e os bloqueios ativos são mantidos pelo tempo necessário à investigação e à segurança do serviço.
• Dados de cobrança da assinatura: mantidos pelos prazos legais de guarda fiscal e de prescrição.
• Backups cifrados: podem conter cópias dos dados por até 90 dias após a exclusão, até serem sobrescritos pelo ciclo normal de rotação.

12. Os seus direitos (art. 18 da LGPD)

A qualquer momento, e gratuitamente, você pode solicitar:

• a confirmação de que tratamos os seus dados;
• o acesso aos dados que temos sobre você;
• a correção de dados incompletos, inexatos ou desatualizados;
• a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• a portabilidade dos dados a outro fornecedor;
• a eliminação dos dados tratados com base no seu consentimento;
• a informação sobre com quem compartilhamos os seus dados;
• a informação sobre a possibilidade de não consentir e as consequências disso;
• a revogação do consentimento, quando essa for a base legal;
• a oposição a tratamento feito com base no legítimo interesse.

Para exercer qualquer um desses direitos, escreva para suporte@ovidraceiroerp.com.br. Responderemos em até 15 (quinze) dias. Podemos pedir informações adicionais para confirmar a sua identidade antes de atender ao pedido — é uma medida de segurança, para que ninguém obtenha os seus dados se passando por você.

Se entender que os seus direitos não foram respeitados, você pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

13. Exclusão da conta e dos dados

Você pode solicitar a exclusão da sua conta e dos dados associados enviando um e-mail para suporte@ovidraceiroerp.com.br com o assunto Exclusão de conta, a partir do e-mail cadastrado.

• Confirmada a identidade, a conta é desativada e os dados são excluídos ou anonimizados em até 30 dias.
• Permanecem armazenados apenas os dados que a lei nos obriga a guardar (documentos fiscais, registros contábeis e registros de acesso), pelos prazos indicados na seção 11.
• Cópias em backups cifrados são eliminadas no ciclo normal de rotação, em até 90 dias.
• Atenção: se você é o titular da conta da vidraçaria, a exclusão remove também os dados operacionais cadastrados por ela. Faça a exportação do que precisar guardar antes de pedir a exclusão.

14. Cookies e identificadores

O aplicativo não usa cookies de publicidade nem de rastreamento entre sites. Utilizamos apenas armazenamento local no aparelho e identificadores estritamente necessários ao funcionamento, como:

• o token de sessão que mantém você conectado;
• o token de notificações do aparelho;
• a opção "Lembrar senha", quando você a marca: nesse caso, o e-mail e a senha ficam guardados no seu próprio aparelho, em área cifrada do sistema operacional, e não são enviados a nós para essa finalidade. Desmarque a opção para apagá-los.

15. Crianças e adolescentes

O aplicativo destina-se ao uso profissional e empresarial e não se dirige a menores de 18 anos. Não coletamos intencionalmente dados de crianças e adolescentes. Se tomarmos conhecimento de que uma conta foi criada por um menor, ela será encerrada e os dados, eliminados.

16. Alterações nesta Política

Podemos atualizar esta Política para refletir mudanças no serviço ou na legislação. A data da última atualização consta sempre no topo desta página. Quando a mudança for relevante, avisaremos dentro do aplicativo ou por e-mail antes de ela passar a valer. O uso do aplicativo após a entrada em vigor da nova versão significa que você tomou conhecimento dela.

17. Lei aplicável e foro

Esta Política é regida pelas leis brasileiras. Fica eleito o foro do domicílio do titular para dirimir eventuais controvérsias decorrentes dela, sem prejuízo de outro foro previsto em lei.

18. Contato

Dúvidas sobre privacidade, exercício de direitos ou pedido de identificação completa do controlador:
Encarregado (DPO) — e-mail: suporte@ovidraceiroerp.com.br
Site: ovidraceiroerp.com.br