Esta política está em conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD · Lei 13.709/2018). Veja também o DPA para tratamento de dados em nome do controlador.
1. Quem somos
Lavre Tecnologia Ltda ("Lavre", "nós") é a controladora e operadora da plataforma Lavre. Esta Política de Privacidade descreve como coletamos, usamos e protegemos seus dados pessoais.
Encarregado de Dados (DPO): dpo@lavre.app
2. Que dados coletamos
2.1. Dados que você fornece
- Dados de cadastro: nome, email, telefone (opcional), CNPJ/CPF, endereço, cargo
- Dados de pagamento: processados via Stripe/Asaas/Pagar.me. Não armazenamos números completos de cartão
- Conteúdo dos documentos: dados pessoais de signatários (nome, CPF, email), termos contratuais, valores
2.2. Dados coletados automaticamente
- Dados de uso: páginas visitadas, ações realizadas, tempo de sessão
- Dados técnicos: IP, navegador, sistema operacional, resolução de tela
- Cookies e identificadores técnicos pra manter sua sessão autenticada e identificar workspace ativo
3. Como usamos seus dados
Tratamos dados pessoais com base nas seguintes hipóteses legais (Art. 7º LGPD):
- Execução de documento (inciso V): prestação do serviço Lavre, cobrança, suporte
- Legítimo interesse (inciso IX): melhorias do produto, prevenção de fraudes, segurança da informação
- Cumprimento de obrigação legal (inciso II): emissão de notas fiscais, retenção de dados fiscais e contábeis
- Consentimento (inciso I): apenas para finalidades específicas e dispensáveis (ex: comunicações de marketing, que você pode revogar a qualquer momento)
4. Compartilhamento de dados
Compartilhamos dados apenas com operadores essenciais à prestação do serviço, sob documentos de confidencialidade e cláusulas LGPD:
- Vercel: hospedagem da aplicação (datacenters em São Paulo)
- Supabase: banco de dados Postgres (datacenters em São Paulo)
- Anthropic: processamento de IA para análise e geração (sob documento com cláusula de não-treinamento)
- OpenAI: embeddings semânticos para busca (sob documento com cláusula de não-treinamento)
- ZapSign: assinatura digital de documentos
- Resend: envio de emails transacionais
- Stripe / Asaas / Pagar.me: processamento de pagamentos
- NFe.io: emissão de notas fiscais
- Sentry / Axiom: monitoramento técnico e logs de auditoria
Não vendemos dados pessoais a terceiros.
5. Onde os dados ficam
A maior parte dos dados é armazenada em datacenters localizados no Brasil (sa-east-1). Operações específicas (IA, embeddings, monitoramento) podem envolver transferência internacional, sempre sob documentos com cláusulas de proteção equivalentes à LGPD.
6. Por quanto tempo retemos os dados
- Conta ativa: enquanto você usar a plataforma
- Após cancelamento: 60 dias (recuperação) + exclusão definitiva
- Notas fiscais e dados contábeis: 5 anos (obrigação legal)
- Logs de auditoria com finalidade probatória: 5 anos
- Backups: 30 dias rotativos
7. Seus direitos como titular
Você tem direito a (Art. 18 LGPD):
- Confirmação e acesso: saber quais dados temos sobre você
- Correção: atualizar dados incompletos, inexatos ou desatualizados
- Anonimização, bloqueio ou exclusão: de dados desnecessários ou tratados em desconformidade
- Portabilidade: receber seus dados em formato estruturado (JSON, CSV)
- Revogação do consentimento: quando aplicável
- Informação sobre compartilhamento: quem mais tem seus dados
- Oposição a tratamento: em casos de tratamento por legítimo interesse
Pra exercer qualquer direito: dpo@lavre.app ou via formulário em lavre.app/lgpd. Atendemos solicitações em até 15 dias úteis.
8. Segurança da informação
Criptografia em repouso (AES-256) e em trânsito (TLS 1.3), MFA obrigatório para Owner/Admin (planejado), logs imutáveis com hash chain SHA-256 per-workspace, isolamento por workspace via Row-Level Security (RLS) no Postgres, backups diários cifrados em datacenters distintos.
9. Crianças e adolescentes
O Lavre é dirigido a uso profissional e empresarial. Não coletamos intencionalmente dados de menores de 18 anos. Se você acredita que coletamos dados de um menor sem consentimento adequado, contate o DPO imediatamente.
10. Mudanças nesta política
Mudanças materiais são comunicadas por email aos administradores do workspace com pelo menos 30 dias de antecedência. Versões anteriores ficam disponíveis para consulta no histórico.