Política de Privacidade e Proteção de Dados

# Política de Privacidade e Proteção de Dados — Eco Tech Financial OS Versão 3.0 — vigência a partir da publicação canônica desta versão. ## 1. Escopo e agentes de tratamento Esta Política explica o tratamento de dados pessoais no Eco Tech Financial OS. O papel da Eco Tech — controladora, operadora ou controladora conjunta — é definido por fluxo, finalidade e decisões efetivamente tomadas, e não por uma classificação única para toda a plataforma. ## 2. Dados tratados Podem ser tratados dados de identificação e contato, vínculos empresariais, documentos pessoais e societários, informações contábeis, patrimoniais, bancárias, financeiras, cadastrais, de crédito, navegação, autenticação, auditoria, comunicações e dados gerados por análises e integrações. Dados sensíveis somente serão tratados quando necessários e amparados juridicamente. ## 3. Finalidades As finalidades incluem cadastro e autenticação; validação de identidade e poderes; execução dos serviços; diagnóstico financeiro; prevenção a fraude; análise e proteção do crédito; atendimento; gestão documental; comunicação operacional; cumprimento de obrigações; exercício de direitos; segurança; auditoria; melhoria do serviço; compartilhamento solicitado e, quando autorizado, comunicação comercial. ## 4. Bases legais Cada operação é vinculada à hipótese legal adequada, que pode incluir execução de contrato ou procedimentos preliminares, obrigação legal ou regulatória, exercício regular de direitos, proteção do crédito, legítimo interesse avaliado, prevenção a fraude e consentimento específico. Ciência da Política e aceite contratual não substituem automaticamente a base legal de cada tratamento. ## 5. Compartilhamento Dados podem ser compartilhados com instituições financeiras, parceiros autorizados, provedores de tecnologia, armazenamento, segurança, comunicação, assinatura, Open Finance, análise cadastral e outros operadores necessários à finalidade informada. O compartilhamento deve registrar destinatário, finalidade, itens ou categorias, base legal, responsável e prazo. Agentes financeiros e parceiros indicadores podem consultar o conteúdo próprio do cliente mediante autorização específica, conforme a seção 11.7. Nenhum destinatário recebe acesso irrestrito a documentos sensíveis ou a dados independentes de outros titulares; esses conteúdos mantêm seus requisitos próprios. Especificamente para o assistente de IA (EcoMind, seção 8), a Anthropic PBC atua como operadora/subprocessadora: recebe, por chamada de API e apenas quando um administrador da Eco Tech instrui uma análise sobre uma empresa específica, os dados cadastrais estruturados e os documentos do dossiê dessa empresa necessários para a tarefa solicitada. A Anthropic não recebe acesso permanente ou irrestrito à base da Eco Tech, apenas o conteúdo de cada chamada pontual. ## 6. Transferência internacional Quando houver processamento fora do Brasil, a Eco Tech avaliará a hipótese legal e o mecanismo aplicável, além de transparência, minimização, segurança e salvaguardas contratuais. O processamento pela Anthropic (seções 5 e 8) ocorre em infraestrutura fora do Brasil; a hipótese legal aplicável, o mecanismo de transferência e as salvaguardas contratuais com a Anthropic estão em revisão jurídica formal. ## 7. Segurança e retenção São adotados controles de acesso, segregação por organização, autenticação, registros de auditoria, criptografia compatível com o serviço, URLs temporárias e medidas de prevenção. A retenção considera finalidade, obrigação legal, exercício de direitos e matriz documental. Ao término, os dados poderão ser eliminados, anonimizados, bloqueados ou arquivados conforme fundamento válido. ## 8. Inteligência artificial e decisões automatizadas Dados destinados à IA devem ser minimizados para a tarefa. Decisões ou recomendações relevantes registram modelo, versão, categorias de entrada, resultado e fatores explicativos disponíveis. O titular poderá solicitar informações e revisão nos casos aplicáveis. **Assistente de IA por empresa (EcoMind).** A plataforma opera um assistente de IA, fornecido pela Anthropic (modelos da família Claude), que analisa, por instrução direta de um administrador da Eco Tech, os dados cadastrais e os documentos do dossiê de uma empresa cliente específica. - **Quem instrui a IA:** apenas administradores da Eco Tech. Cliente, parceiro indicador e parceiro financiador não enviam comandos ou perguntas livres à IA: solicitam uma análise pelo canal de suporte e veem o resultado já produzido, sempre restrito ao escopo próprio do cliente. A consulta pelo destinatário exige as categorias e a permissão de análises derivadas aplicáveis à autorização específica da seção 11.7; o vínculo de carteira não substitui essa autorização. Ler um resultado existente não aciona automaticamente uma nova análise nem transmissão a provedor. - **O que é enviado à Anthropic:** os dados estruturados do cadastro e o conteúdo dos documentos selecionados para aquela análise, apenas no momento da chamada. - **O que não ocorre:** a IA não toma decisão de crédito, não gera score e não aprova nem reprova operações. Produz um texto de apoio, revisado por um administrador antes de qualquer uso operacional. - **Registro:** cada execução (quem instruiu, quando, resultado ou erro) fica registrada e auditável. ## 9. Direitos do titular O titular pode solicitar confirmação, acesso, correção, informação sobre compartilhamento, portabilidade quando aplicável, anonimização, bloqueio ou eliminação nas hipóteses legais, revogação de consentimento, oposição e revisão de decisão automatizada. Restrições poderão ocorrer quando a conservação for necessária por fundamento jurídico válido. ## 10. Canal de privacidade e incidentes Solicitações são protocoladas no Portal de Privacidade ou pelo e-mail privacidade@ecotechsolucoes.com. Incidentes com risco ou dano relevante serão avaliados e comunicados conforme a legislação e regulamentação aplicáveis. Esta Política será versionada; alterações substanciais serão destacadas e poderão exigir nova ciência ou manifestação. ## 11. Tratamentos específicos Cada fluxo abaixo informa finalidade, categorias de dados, destinatários, base legal, critério de compartilhamento, retenção, autorização, revogação e auditoria. A retenção segue a matriz de retenção da Eco Tech: os dados ficam guardados enquanto durar a finalidade e, depois, pelo prazo legal ou necessário à defesa de direitos. ### 11.1 Critérios de elegibilidade vistos pelo financiador - **Finalidade:** análise do crédito nos produtos do próprio financiador. - **Categorias:** dados cadastrais e financeiros da empresa usados nos critérios, como faturamento, garantias e restrições, e dados dos sócios usados nesses critérios, inclusive CPF. - **Destinatários:** o financiador com quem a empresa foi compartilhada ou a quem a operação foi encaminhada. - **Base legal:** proteção do crédito (LGPD, art. 7º, X). - **Critério:** só os campos dos critérios do produto do próprio financiador. Espelhos financeiros, exportações, o Passaporte e a consulta do conteúdo próprio compartilhado exigem autorização específica. Este fluxo de critérios não concede a autorização de conteúdo da seção 11.7. - **Revogação:** o fim do compartilhamento ou do encaminhamento encerra o acesso. O titular pode se opor e pedir revisão. - **Auditoria:** consultas registradas com usuário, data e empresa. ### 11.2 Documentos pessoais de sócios e cônjuges - **Finalidade:** análise de crédito ou formalização de uma operação específica. - **Categorias:** documentos de identificação, comprovantes e demais documentos pessoais do titular. - **Destinatários:** apenas o financiador indicado na autorização. - **Base legal:** procedimentos preliminares do contrato solicitado pela empresa e proteção do crédito, sempre condicionados à autorização registrada. - **Critério:** uma operação, um financiador, um titular, documentos e finalidade definidos, validade de 1 a 365 dias; autoriza o próprio titular ou um gestor da empresa como representante. - **Revogação:** a qualquer momento, com efeito imediato; o vencimento também encerra o acesso. - **Auditoria:** registro de cada concessão, revogação e download. ### 11.3 Oportunidades e recomendações automatizadas - **Finalidade:** identificar soluções financeiras e empresariais adequadas à empresa. - **Categorias:** dados declarados no cadastro, documentos, demonstrações e indicadores derivados. - **Destinatários:** a própria empresa e, só depois de verificada a elegibilidade, o financiador a quem a oportunidade for encaminhada. - **Base legal:** execução do contrato e legítimo interesse avaliado; o encaminhamento segue as autorizações da operação. - **Critério:** nenhuma oferta sem produto elegível verificado depois da última mudança do cadastro ou dos documentos. - **Revogação:** o cliente pode recusar oportunidades, se opor ao tratamento e pedir revisão humana. - **Auditoria:** gatilho, evidência, avaliação, etapas, operação e receita ficam registrados. ### 11.4 API externa - **Finalidade:** integrar sistemas do cliente à plataforma. - **Categorias:** dados da empresa, operações e metadados de documentos dentro dos escopos da chave; registros técnicos de cada chamada (rota, situação, horário, IP). - **Destinatários:** os sistemas do próprio cliente, autenticados pela chave. - **Base legal:** execução do contrato. - **Critério:** escopos da chave, limitados pelo papel do usuário responsável; documentos pessoais de sócios e cônjuges nunca saem pela API. - **Revogação:** a Eco Tech ou o cliente pode pedir a revogação da chave, com efeito imediato. - **Auditoria:** registro imutável de cada chamada e de cada ação administrativa. ### 11.5 Webhooks - **Finalidade:** avisar os sistemas do cliente sobre eventos da empresa. - **Categorias:** identificadores, tipo de evento, situação e data; sem documentos e sem dados pessoais de sócios. - **Destinatários:** o endereço HTTPS cadastrado para a empresa. - **Base legal:** execução do contrato. - **Critério:** apenas os eventos inscritos, entregues com assinatura criptográfica. - **Revogação:** o destino pode ser pausado ou removido a qualquer momento. - **Auditoria:** cada entrega e tentativa fica registrada com situação e horário. ### 11.6 White Label do Parceiro Indicador - **Finalidade:** permitir que o indicador ofereça a plataforma com a própria marca. - **Categorias:** dados de identidade visual do indicador; dados dos clientes da carteira tratados nas mesmas regras desta Política; receitas da operação White Label para cálculo da mensalidade. - **Destinatários:** o indicador acessa apenas a própria carteira; a Eco Tech opera a plataforma. - **Base legal:** execução do contrato com o indicador e com os clientes. - **Critério:** mesmo isolamento entre empresas, mesmas permissões e mesmos consentimentos da plataforma. - **Revogação:** o encerramento do White Label desativa a marca; os dados dos clientes continuam na plataforma sob esta Política. - **Auditoria:** contrato, aceite, competências, cobranças e estornos ficam registrados. ### 11.7 Compartilhamento específico do conteúdo próprio - **Finalidade:** consulta e análise do conteúdo próprio para a finalidade determinada, compreensível e aceita pelo cliente na autorização individual. - **Categorias:** as categorias expressamente escolhidas do dossiê empresarial (16 categorias) ou do próprio titular PF (8 categorias), descritas no Consentimento para Compartilhamento do Conteúdo Próprio, versão 3.0. Podem ser escolhidas todas ou somente algumas; segredos de sistema, conteúdo privado de terceiros e dossiês independentes de outras pessoas ou empresas ficam fora. Documentos PF exigem titularidade individual comprovada. - **Destinatários:** exclusivamente o agente financeiro ou parceiro indicador identificado na autorização. Outra empresa do grupo, pessoa física, finalidade ou destinatário exige autorização própria. - **Base legal:** consentimento específico para este compartilhamento, acompanhado dos papéis e fundamentos próprios dos demais tratamentos; ciência desta Política não concede acesso. Dados sujeitos a requisitos específicos mantêm seus instrumentos adequados. - **Critério:** autorização espontânea do cliente ou aceite expresso de uma solicitação; o próprio titular PF ou representante com poderes atuais da empresa escolhe destinatário, finalidade, categorias e prazo. O acesso começa após o aceite e inclui registros atuais, atualizações e novos registros e versões das mesmas categorias durante esse prazo. Novas categorias e permissões não são adicionadas automaticamente. Histórico exige também a categoria dos dados e registros com múltiplas categorias exigem todas elas. Download e análises derivadas são escolhas independentes, inicialmente desmarcadas. - **Retenção:** o prazo do acesso não concede retenção indefinida de cópias. A revogação não recolhe automaticamente arquivos já legitimamente baixados; uso, eliminação, bloqueio ou conservação posterior dependem do fundamento próprio aplicável. A evidência da manifestação e as versões aceitas são preservadas para consulta e apuração. - **Revogação:** gratuitamente, a qualquer momento, sem motivo, pela área de Privacidade; o vencimento ou a revogação impede novas consultas e downloads dependentes da autorização. A gestão de consentimentos não exige compra de plano ou serviço. - **Auditoria:** a autorização preserva ator, escopo próprio, destinatário e tipo, finalidade, categorias, permissões, prazo, versão e conteúdo do termo; consultas e downloads seguem os registros aplicáveis. Autorizações antigas mantêm seu escopo e evidência originais. Este compartilhamento não substitui a autorização individual específica de documentos pessoais de sócios e cônjuges da seção 11.2. Não libera API externa, webhook, consulta ao SCR, bureau, banco, Open Finance, provedor de IA ou outro fornecedor, nem contratação, assinatura ou movimentação financeira. A consulta de conteúdo já produzido não solicita automaticamente uma nova coleta ou análise externa.