Política de privacidade

1. Quem é o controlador

O controlador dos dados pessoais tratados no Zaran (zaran.com.br) é a CASTELAR GROUP LTDA, inscrita no CNPJ sob o nº 68.310.331/0001-61 (“Castelar”, “nós”).

Esta política segue a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018, “LGPD”), o Marco Civil da Internet (Lei nº 12.965/2014) e a regulamentação da Autoridade Nacional de Proteção de Dados (ANPD).

Quando cada empresa cadastrada no sistema lança dados de terceiros (por exemplo, fornecedores e clientes), essa empresa é a controladora desses dados, e a Castelar atua como operadora, tratando-os conforme as instruções dela e esta política.

2. A quem se aplica

Esta política se aplica a:

• Usuários: pessoas autorizadas a acessar o sistema;
• Terceiros cujos dados aparecem nos registros das empresas: fornecedores, produtores rurais, clientes e compradores dos marketplaces, transportadoras e outros contatos comerciais.

3. Dados que tratamos

3.1 Dos usuários

• Cadastro e acesso: nome, e-mail e senha. A senha nunca é guardada em texto: guardamos apenas um resumo criptográfico (hash Argon2) que não permite recuperá-la.
• Registros de acesso: endereço IP, data e hora de cada acesso e informações técnicas da requisição, como o navegador utilizado.
• Finanças pessoais (espaço “Pessoal”), quando o próprio usuário as cadastra: cartões de crédito (apelido, banco, bandeira, limite, dias de fechamento e vencimento e apenas os quatro últimos dígitos), compras, parcelas, faturas, contas e orçamentos. Nunca pedimos nem guardamos o número completo do cartão, o código de segurança (CVV) ou senhas bancárias.

3.2 Dos terceiros, nos registros das empresas

• Fornecedores e produtores: nome ou razão social, CPF ou CNPJ, inscrição estadual, endereço, telefone e e-mail, além dos dados das notas fiscais de compra.
• Clientes e compradores dos marketplaces, quando houver integração: nome, CPF ou CNPJ, endereço de entrega e dados do pedido e da nota fiscal de venda, recebidos do marketplace pelos canais oficiais (API).
• Pagamentos: dados de contas a pagar e a receber, como valores, datas e comprovantes anexados.

3.3 O que não tratamos

O sistema não foi feito para tratar dados pessoais sensíveis (art. 5º, II, da LGPD), como origem racial, convicção religiosa, opinião política, saúde ou biometria. Pedimos que eles não sejam lançados.

4. Finalidades e bases legais

Não tomamos decisões automatizadas que afetem os interesses dos titulares nem fazemos perfilamento para fins de publicidade.

5. Compartilhamento

Não vendemos nem alugamos dados pessoais. Compartilhamos apenas o necessário com:

• Provedor de infraestrutura em nuvem: DigitalOcean, que hospeda os servidores e o banco de dados do sistema;
• Marketplaces e plataformas integradas, como Mercado Livre, Amazon e Shopee, somente quando a empresa autoriza a integração e somente com as permissões que ela concede;
• Autoridades públicas, quando houver obrigação legal, regulatória ou ordem judicial, inclusive autoridades fiscais;
• Assessores profissionais, como contabilidade e advogados, sob dever de confidencialidade, quando necessário para cumprir obrigações ou defender direitos.

Os dados de cada empresa ficam separados no sistema: usuários de uma empresa não enxergam os dados de outra, e os dados pessoais do espaço “Pessoal” só são visíveis para o próprio usuário.

6. Transferência internacional

Os servidores do provedor de infraestrutura podem estar localizados fora do Brasil. Quando isso acontecer, a transferência internacional observará o art. 33 da LGPD e o Regulamento de Transferência Internacional de Dados da ANPD (Resolução CD/ANPD nº 19/2024), com garantias contratuais de proteção compatíveis com a lei brasileira.

7. Por quanto tempo guardamos

• Dados de cadastro do usuário: enquanto o acesso estiver ativo. Depois, pelo tempo necessário para cumprir obrigações legais e exercer direitos.
• Registros de acesso: pelo menos 6 meses, como exige o art. 15 do Marco Civil da Internet.
• Documentos e registros fiscais e contábeis, como notas fiscais, pagamentos e custos: pelo prazo exigido pela legislação tributária e comercial, em regra até a prescrição dos créditos tributários (art. 195, parágrafo único, do Código Tributário Nacional).
• Cópias de segurança (backups): substituídas em ciclo de até 30 dias.

Encerrados esses prazos, os dados são eliminados ou anonimizados, salvo as hipóteses de conservação do art. 16 da LGPD.

8. Segurança

Adotamos medidas técnicas e administrativas proporcionais ao risco (art. 46 da LGPD), entre elas:

• Conexão sempre criptografada (HTTPS com HSTS);
• Senhas guardadas apenas como hash Argon2;
• Sessão em cookie protegido (HttpOnly, Secure e SameSite), que expira automaticamente após 12 horas;
• Proteção contra envio de formulários por sites de terceiros (tokens anti-CSRF);
• Separação dos dados por empresa e por usuário, verificada a cada acesso;
• Acesso restrito, sem cadastro aberto, e aplicação executada com privilégios mínimos no servidor;
• Arquivos enviados, como fotos de produtos, verificados antes de serem gravados e servidos apenas a usuários autorizados;
• Nenhum script de rastreamento, análise ou publicidade de terceiros; as fontes do sistema são servidas pelo próprio servidor;
• Cópias de segurança periódicas do banco de dados.

Nenhum sistema é totalmente imune a riscos. Por isso, revisamos essas medidas continuamente e pedimos que cada usuário proteja sua senha e encerre a sessão em computadores compartilhados.

9. Cookies

Usamos apenas um cookie, estritamente necessário para o funcionamento do sistema:

Não usamos cookies de publicidade, de análise ou de terceiros. Por isso não há banner de consentimento. Se você bloquear esse cookie no navegador, não será possível entrar no sistema.

10. Seus direitos

Nos termos do art. 18 da LGPD, você pode solicitar a qualquer momento:

• Confirmação de que tratamos seus dados e acesso a eles;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• Portabilidade dos dados, conforme a regulamentação da ANPD;
• Eliminação dos dados tratados com base em consentimento, ressalvadas as hipóteses do art. 16 da LGPD;
• Informação sobre com quem compartilhamos seus dados;
• Informação sobre a possibilidade de não dar consentimento e suas consequências, quando ele for a base legal;
• Revogação do consentimento, quando aplicável;
• Revisão de decisões tomadas unicamente com base em tratamento automatizado (art. 20), embora não as utilizemos;
• Oposição a tratamento feito com base em outras hipóteses legais, em caso de descumprimento da LGPD.

Para exercer seus direitos, escreva para gabriel@castelar.com.br. Podemos pedir informações para confirmar sua identidade antes de atender, para proteger seus próprios dados. Responderemos nos prazos da LGPD; a declaração completa de acesso será fornecida em até 15 dias da solicitação (art. 19, II).

Se o pedido se referir a dados que uma empresa usuária lançou no sistema, encaminharemos a solicitação a ela, que é a controladora desses dados, e apoiaremos o atendimento.

11. Incidentes de segurança

Se ocorrer um incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos a ANPD e os titulares afetados, nos termos do art. 48 da LGPD e do Regulamento de Comunicação de Incidente de Segurança (Resolução CD/ANPD nº 15/2024), e adotaremos as medidas para reverter ou mitigar os efeitos. Todos os incidentes são registrados internamente, inclusive os que não exigem comunicação.

12. Crianças e adolescentes

O Zaran é uma ferramenta profissional, destinada a maiores de 18 anos. Não tratamos intencionalmente dados de crianças ou adolescentes. Se isso ocorrer por engano, entre em contato e os dados serão eliminados.

13. Mudanças nesta política

Podemos atualizar esta política para refletir mudanças no sistema, na lei ou na regulamentação. A versão e a data da última atualização aparecem no topo desta página. Se a mudança for relevante, avisaremos os usuários dentro do sistema antes de ela entrar em vigor.

14. Contato e ANPD

O canal de comunicação com os titulares e com a ANPD é o e-mail gabriel@castelar.com.br, mantido nos termos do art. 41 da LGPD e da regulamentação da ANPD aplicável aos agentes de tratamento de pequeno porte (Resolução CD/ANPD nº 2/2022).

Se você entender que sua solicitação não foi atendida, também pode apresentar petição à Autoridade Nacional de Proteção de Dados (ANPD), pelo site gov.br/anpd.