VoltarOrçAI — Sistema Financeiro, Contábil e Tributário

Política de Privacidade

Versão: 1.0 · Última atualização: 14 de junho de 2026

Esta Política explica como a plataforma OrçAI (operada por 4R Consultoria) coleta, usa, armazena, compartilha e protege dados pessoais, em conformidade com a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados — LGPD).

1. Quem somos e papéis

O OrçAI é um SaaS multi-tenant white-label de planejamento financeiro, orçamento, contabilidade e tributação.

  • Operador da plataforma: 4R Consultoria — mantém infraestrutura, banco de dados, segurança e atualizações.
  • Controlador dos dados operacionais: a empresa cliente (tenant) que contrata o serviço — é responsável pelos dados que insere e pelo uso que faz da plataforma.
  • Titular: pessoa natural cujos dados podem ser tratados (usuário do sistema, sócio, funcionário, cliente cadastrado pelo tenant).

2. Dados que tratamos

De acordo com o uso, podemos tratar:

  • Identificação e contato: nome, e-mail, telefone, CPF (sócios), razão social, CNPJ;
  • Autenticação: e-mail e senha (sempre armazenada com hash bcrypt), papel de acesso (MASTER / TENANT_ADMIN / ACCOUNTANT / etc.);
  • Cadastrais da empresa: CNPJ, CNAE, porte, regime tributário, endereço — obtidos via consulta pública (BrasilAPI / cnpj.ws / ReceitaWS) ou cadastrados manualmente;
  • Financeiros e contábeis: orçamentos, projeções, extratos bancários importados (OFX/CSV), lançamentos contábeis, apurações tributárias;
  • Documentos enviados: PDFs de balanço para análise por IA (armazenados em base64 no banco enquanto a análise estiver ativa);
  • Técnicos: endereço IP no momento do login (transitório), user-agent, logs de auditoria (quem fez o quê, quando), cookie de sessão.

3. Finalidades e bases legais

  • Execução do contrato — prover o serviço de planejamento, contabilidade e tributação contratado;
  • Cumprimento de obrigação legal/regulatória — registros contábeis e fiscais que a empresa cliente precisa manter;
  • Legítimo interesse — segurança, prevenção a fraude, melhoria do produto, logs de auditoria;
  • Consentimento — comunicações opcionais, integrações de terceiros que dependam de aceite expresso.

4. Compartilhamento com terceiros (subprocessadores)

Para operar o serviço, dados podem ser processados pelos seguintes provedores:

  • Vercel (EUA) — hospedagem e CDN da aplicação web;
  • Hostinger (Brasil/Europa) — banco de dados MySQL;
  • BrasilAPI / cnpj.ws / ReceitaWS — consultas públicas de CNPJ;
  • Provedores de IA (Groq, SambaNova, OpenRouter, Google Gemini, Cerebras) — análise textual de extratos e balanços. Quando a IA processa um extrato bancário, descrições de transações (que podem incluir nomes próprios em PIX) trafegam por esses provedores. Esse trecho da política deve ser revisado por DPO/advogado antes de uso comercial em produção;
  • Autoridades públicas, quando exigido por lei ou ordem judicial.

Não comercializamos, alugamos ou cedemos dados pessoais a terceiros para fins de marketing.

5. Segurança

Adotamos medidas técnicas e administrativas razoáveis:

  • Senhas armazenadas com bcrypt (cost 12); nunca em texto puro;
  • Sessões via cookie HttpOnly + SameSite=Lax + Secure (em produção), assinadas com JWT (HS256, segredo de 64 caracteres);
  • Rate limiting no login (5 tentativas por e-mail a cada 15 min) contra força bruta;
  • Conexão ao banco MySQL apenas via TLS;
  • Isolamento multi-tenant em toda consulta operacional (filtro obrigatório por tenantId);
  • Trilha de auditoria (AuditLog) registra criação, atualização, exclusão e aprovações em entidades sensíveis;
  • Backups periódicos do banco de dados.

6. Retenção

Dados são mantidos enquanto a conta estiver ativa e pelo período necessário ao cumprimento de obrigações legais, contratuais, regulatórias e ao exercício regular de direitos. Registros contábeis e fiscais seguem os prazos do Código Tributário Nacional (em regra, 5 anos) e da Lei das S.A. quando aplicável. Após o término do contrato, dados podem ser anonimizados, bloqueados ou eliminados, conforme análise caso a caso.

7. Direitos do titular

Canal oficial: /legal/direitos — preencha o formulário e receba um protocolo de acompanhamento.

Você pode solicitar a qualquer momento:

  • confirmação da existência de tratamento;
  • acesso aos seus dados;
  • correção de dados incompletos, inexatos ou desatualizados;
  • anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
  • portabilidade para outro fornecedor;
  • informação sobre compartilhamento;
  • revogação de consentimento, quando essa for a base legal;
  • oposição a tratamento realizado com fundamento em hipótese sem consentimento, em caso de descumprimento da LGPD;
  • revisão de decisões automatizadas (quando aplicável).

Solicitações devem ser enviadas para o canal de privacidade abaixo. Retornaremos o mais rápido possível, respeitando o prazo legal.

8. Cookies

Utilizamos apenas cookies essenciais ao funcionamento do serviço (autenticação por sessão e preferência de tema light/dark). Não usamos cookies de marketing, rastreamento de terceiros ou analytics invasivos. Caso isso mude, esta política será atualizada e, quando exigível, o consentimento será solicitado.

9. Crianças e adolescentes

O OrçAI é destinado a profissionais e empresas — não coletamos dados de crianças ou adolescentes de forma deliberada. Tenants que precisem tratar dados de menores devem adotar as cautelas adicionais previstas no art. 14 da LGPD e validar juridicamente o uso.

10. Incidentes

Em caso de incidente de segurança que envolva risco relevante aos titulares, comunicaremos a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados nos prazos legais. Mantemos plano interno de resposta a incidentes (RIPD/registro próprio).

11. Alterações desta Política

Esta Política pode ser atualizada. A versão vigente é sempre a publicada nesta página, identificada pela versão e pela data de última atualização no topo. Alterações materiais serão comunicadas aos administradores dos tenants.

12. Contato e canal LGPD

Dúvidas, solicitações de exercício de direitos ou comunicações sobre privacidade:

Esta política é um documento operacional. Para fins de validação jurídica plena, recomenda-se revisão por advogado especialista ou pelo Encarregado (DPO) designado.