Política de Privacidade
Última atualização: <<EFFECTIVE_DATE>>
Esta política descreve como <<COMPANY_NAME>> coleta, utiliza, compartilha e protege seus dados pessoais conforme a Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018) e suas alterações subsequentes.
1. Quem somos
<<COMPANY_NAME>> (doravante "nós", "nos" ou "Portal da Obra") é a pessoa jurídica controladora dos dados pessoais tratados nesta plataforma, nos termos do art. 5º, §VI da LGPD.
| Informação | Valor |
|---|---|
| Razão social | <<COMPANY_NAME>> |
| CNPJ | <<COMPANY_CNPJ>> |
| Endereço | <<COMPANY_ADDRESS>> |
| Site | https://portaldaobra.com.br |
O que é a plataforma: Portal da Obra é um marketplace B2B para sourcing corporativo na construção civil. A plataforma conecta clientes (empresas contratantes) a construtoras (fornecedores), viabilizando abertura de orçamentos (BIDs), convite de fornecedores, avaliação de propostas, adjudicação de contrato, coleta de assinaturas eletrônicas via Assinafy e execução do projeto com rastreamento de progresso.
Todos os usuários são representantes corporativos (pessoas físicas que agem em nome de pessoas jurídicas). A plataforma não é dirigida ao consumidor final pessoa física.
2. Encarregado pelo Tratamento de Dados (DPO)
Em cumprimento ao art. 41 da LGPD e ao art. 9º da Resolução CD/ANPD nº 18/2024, <<COMPANY_NAME>> designou um Encarregado pelo Tratamento de Dados Pessoais (DPO).
| Informação | Valor |
|---|---|
| Nome | <<DPO_NAME>> |
| E-mail de contato | <<DPO_EMAIL>> (padrão: dpo@portaldaobra.com.br) |
Compromissos do DPO (Res. 18/2024):
- Art. 10, §IV — O agente de tratamento assegura ao titular meios céleres, eficazes e adequados para comunicar-se com o Encarregado e exercer seus direitos.
- Art. 13 — O Encarregado comunica-se com os titulares e com a ANPD de forma clara e precisa em língua portuguesa.
- Art. 41 §1º da LGPD — A identidade e as informações de contato do Encarregado são divulgadas publicamente, em local de destaque e de fácil acesso, neste site e na plataforma.
O Encarregado aceita reclamações, fornece esclarecimentos, adota providências cabíveis e serve como ponto de contato com a ANPD (Res. 18/2024, art. 15).
3. Quais dados coletamos
Coletamos dados pessoais nas seguintes categorias. Para o inventário completo campo a campo, consulte o Registro das Atividades de Tratamento (RoPA).
| Categoria | Exemplos | Fonte |
|---|---|---|
| Identificação | Nome completo, e-mail, telefone, endereço, CEP, nome da empresa, nome comercial | Fornecido pelo usuário |
| Financeiro | Saldo de carteira, histórico de transações, chave PIX (criptografada), valor dos contratos, ID de transação Asaas | Sistema / fornecido pelo usuário |
| KYC / Verificação de identidade | Tipo e número de documento (CPF, RG, CNPJ, IE, CCM, CREA/CAU), dados biométricos/documentais submetidos à Asaas, hash de verificação | Fornecido pelo usuário |
| Texto livre | Mensagens de chat do BID, perguntas e respostas de Q&A, descrições de projeto, notas de proposta, razão de recusa | Fornecido pelo usuário |
| Comportamental | Último login, locale preferido, origem de acesso (web/backoffice), preferências de notificação | Sistema |
| Técnico | IP de aceite de contrato, User Agent, hash de token de redefinição de senha, sub do Cognito | Sistema |
| Evidência de consentimento | IP e User Agent no momento do aceite de contrato/termos, timestamp de aceite dos termos, registros de aceite de termos de uso | Sistema |
Nota sobre texto livre: campos de texto aberto (chat, Q&A, descrições) podem conter dados pessoais de terceiros inseridos pelo próprio usuário. Recomendamos não inserir dados pessoais desnecessários nesses campos.
Nota sobre referências de terceiros: coletamos nome, e-mail e telefone de contatos de referência indicados por construtoras no processo de vetting. Esses contatos não forneceram consentimento diretamente à plataforma. Caso você seja um contato de referência e queira exercer seus direitos nos termos do art. 18 da LGPD, entre em contato com nosso DPO.
4. Bases legais
O tratamento de cada categoria de dados pessoais tem fundamento em ao menos uma das hipóteses legais do art. 7º (dados comuns) ou art. 11 (dados sensíveis) da LGPD.
| Categoria | Base legal LGPD | Exemplo concreto |
|---|---|---|
| Identificação | Art. 7º §V — execução de contrato | Nome e CNPJ do usuário são necessários para emitir contratos e BIDs na plataforma |
| Financeiro | Art. 7º §II — cumprimento de obrigação legal + Art. 16 §I — exceção de retenção | Transações financeiras retidas 5 anos por obrigação fiscal (Receita Federal) |
| KYC / biométrico (documentos) | Art. 11 §II.g — prevenção à fraude e segurança do titular em processos de identificação eletrônica | CPF e documentos submetidos à Asaas para verificação de identidade e prevenção a fraudes |
| KYC (dados fiscais: CNPJ, IE) | Art. 7º §II — obrigação legal (NF-e, ISS) + Art. 7º §V — execução de contrato | CNPJ obrigatório para emissão fiscal e formalização contratual |
| Marketing / comunicações comerciais | Art. 7º §I — consentimento | E-mail marketing somente após consentimento explícito no cadastro ou painel de preferências |
| Texto livre (operações de negócio) | Art. 7º §IX — legítimo interesse | Mensagens de negociação do BID retidas para continuidade do processo contratual e resolução de disputas |
| Comportamental / técnico | Art. 7º §IX — legítimo interesse | Último login e User Agent usados para monitoramento de segurança da sessão |
| Evidência de consentimento | Art. 7º §I — consentimento + Art. 8º §2 — ônus da prova | IP e timestamp de aceite de termos retidos para comprovar o consentimento perante a ANPD |
5. Finalidades do tratamento
Tratamos seus dados pessoais para as seguintes finalidades:
- Prestação do serviço B2B de sourcing na construção civil — criação e gerenciamento de orçamentos (BIDs), convite de fornecedores, avaliação de propostas, adjudicação de contratos.
- Execução de contratos — geração, renderização e armazenamento imutável de contratos assinados eletronicamente via Assinafy (art. 7º §V da LGPD).
- Processamento de pagamentos — operação de carteiras digitais e transações via Asaas (subcontas vinculadas a contratantes e construtoras).
- Verificação de identidade (KYC) — verificação de documentos e prevenção à fraude para habilitar transações financeiras (art. 11 §II.g da LGPD).
- Envio de notificações — alertas operacionais (novas propostas, mudança de status de BID, assinatura de contrato, transações financeiras) via e-mail e notificações in-app.
- Segurança e prevenção a fraudes — monitoramento de sessão, logs de auditoria, controle de acesso.
- Cumprimento de obrigações legais — retenção fiscal de registros financeiros, resposta a solicitações de autoridades competentes.
- Marketing (somente com consentimento) — comunicações sobre novos recursos da plataforma, conteúdos relevantes para o setor da construção civil.
- Melhoria da plataforma — análise de uso via Google Tag Manager (GTM-PHFRLWGJ), condicionada ao seu consentimento de cookies analíticos.
6. Compartilhamento e subprocessadores
Compartilhamos dados pessoais com os seguintes subprocessadores, somente na medida necessária para as finalidades declaradas:
| Subprocessador | Finalidade | Região | Base LGPD |
|---|---|---|---|
| AWS (RDS + S3 + Cognito) | Banco de dados, armazenamento de arquivos, autenticação | us-east-1 (EUA) | Art. 33 §II.b — cláusulas contratuais padrão sob AWS DPA (ver disclosure abaixo) |
| AWS SES | Entrega de e-mails (QA e produção) | sa-east-1 (Brasil) | Doméstico — art. 33 não aplicável |
| Asaas | Pagamentos + KYC de usuários | Brasil | Doméstico — art. 33 não aplicável |
| Assinafy | Assinatura eletrônica de contratos | Brasil | Doméstico — art. 33 não aplicável |
| AgentMail | Entrega de e-mails (local/dev) | EUA | Art. 33 §II.b — cláusulas contratuais padrão sob DPA (em formalização) |
| Sentry | Rastreamento de erros (web + api) | EUA | Art. 33 §II.b — cláusulas contratuais padrão sob DPA (em formalização) |
Não vendemos nem alugamos seus dados pessoais a terceiros para fins publicitários.
Política de alteração de subprocessadores: a adição de um novo subprocessador que acesse dados pessoais de clientes da plataforma requer aviso prévio de 30 dias por e-mail a todos os administradores de conta, antes da ativação.
Disclosure obrigatório — Transferência internacional AWS
"Os dados pessoais armazenados em infraestrutura AWS são processados na região us-east-1 (Estados Unidos), constituindo transferência internacional regida pelo art. 33, §II, alínea 'b' da LGPD, mediante cláusulas contratuais padrão sob o Data Processing Agreement vigente com a Amazon Web Services, Inc."
7. Retenção de dados
Os dados pessoais são retidos pelo período mínimo necessário para as finalidades declaradas, observados os seguintes prazos:
| Tipo de dado | Prazo | Base legal |
|---|---|---|
| Dados de identificação e operação (não transacionados) | 30 dias após exclusão da conta, seguido de anonimização | Art. 12 (dado anonimizado sai do escopo da LGPD) |
| Registros financeiros e fiscais | 5 anos após o encerramento do exercício fiscal correspondente | Art. 16 §I — obrigação legal (Receita Federal) |
| Contratos assinados eletronicamente | Prazo indefinido — imutabilidade criptográfica necessária para integridade jurídica | Art. 7º §V — execução de contrato; Art. 16 §I — obrigação legal |
| Evidência de consentimento | Prazo indefinido (para fins de comprovação perante a ANPD) | Art. 8º §2 — ônus da prova do controlador |
| Dados KYC (documentos) | 5 anos (Art. 16 §I); ao final, sever-link: colunas PII nuladas + arquivo S3 excluído | Art. 16 §I |
| Tokens de autenticação e redefinição de senha | Somente pelo período de validade da sessão / token | Art. 18 §IV — hard-delete imediato |
8. Direitos do titular
Nos termos do art. 18 da LGPD, você tem os seguintes direitos em relação aos seus dados pessoais tratados por <<COMPANY_NAME>>:
| Direito | Descrição | Como exercer |
|---|---|---|
| §I — Confirmação | Confirmar a existência de tratamento dos seus dados | Portal /dashboard/privacy ou e-mail ao DPO |
| §II — Acesso | Acessar os seus dados pessoais | Portal /dashboard/privacy (exportação) ou e-mail ao DPO |
| §III — Correção | Corrigir dados incompletos, inexatos ou desatualizados | Portal /dashboard/privacy ou e-mail ao DPO |
| §IV — Anonimização / bloqueio / eliminação | Solicitar anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a LGPD | Portal /dashboard/privacy ou e-mail ao DPO |
| §V — Portabilidade | Solicitar portabilidade dos seus dados a outro fornecedor de serviço | E-mail ao DPO (exportação em formato aberto) |
| §VI — Eliminação | Solicitar eliminação dos dados tratados com base em consentimento | Portal /dashboard/privacy ou e-mail ao DPO |
| §VII — Informação sobre compartilhamento | Obter informação sobre entidades com as quais compartilhamos seus dados | Esta política, §6, ou e-mail ao DPO |
| §VIII — Informação sobre não consentimento | Ser informado sobre a possibilidade de não fornecer consentimento e suas consequências | Esta política e fluxo de cadastro |
| §IX — Revogação do consentimento | Revogar consentimento para tratamentos baseados em consentimento (ex.: marketing) | Portal /dashboard/privacy — painel de preferências de consentimento |
Prazo de resposta: Respondemos às solicitações dos titulares em até 15 dias, nos termos do art. 19 da LGPD.
Portal de autoatendimento: o portal /dashboard/privacy permite exercer os direitos de acesso, exportação, correção e eliminação sem necessidade de e-mail ao DPO.
Contato alternativo: Para solicitações complexas ou que não possam ser atendidas pelo portal, envie e-mail ao DPO em <<DPO_EMAIL>>.
9. Cookies
Esta plataforma utiliza cookies. Para informações detalhadas sobre os tipos de cookies utilizados, seus propósitos e como gerenciá-los, consulte nossa Política de Cookies.
Em resumo, utilizamos três categorias de cookies:
- Essenciais — sempre ativos; necessários para autenticação e funcionamento da plataforma.
- Analíticos — somente com seu consentimento; usados para análise de uso via Google Tag Manager (GTM-PHFRLWGJ).
- Marketing — somente com seu consentimento; reservados para uso futuro.
10. Eliminação e anonimização
Regra padrão: anonimização por padrão
Quando você solicita a exclusão da sua conta ou o exercício do direito à eliminação (art. 18 §IV da LGPD), aplicamos a seguinte regra: em vez de destruir registros históricos que possam comprometer a integridade de transações passadas, anonimizamos os campos identificadores — substituindo nome, e-mail, CPF, CNPJ, telefone, endereço e outros dados de identificação por valores neutros (ex.: "Usuário Removido") ou nulos.
Dados anonimizados deixam de ser dados pessoais nos termos do art. 12 da LGPD (dado ao qual não se pode associar, direta ou indiretamente, a identidade de um indivíduo por meios técnicos razoáveis).
Registros financeiros e fiscais são mantidos pelo prazo legalmente obrigatório (5 anos, art. 16 §I) vinculados ao registro anonimizado.
Q5 — Contratos assinados: preservação irreversível
"Quando você assina um contrato através da plataforma, seus dados de identificação ficam preservados no documento assinado de forma irreversível, conforme exigido para a integridade jurídica do contrato (LGPD art. 7º §V — execução de contrato — e art. 16, I — cumprimento de obrigação legal)."
Isso significa que o PDF assinado, o certificado de assinatura e o snapshot do corpo do contrato — que contêm seu nome e dados de identificação — são retidos indefinidamente. A alteração desses documentos invalidaria a assinatura eletrônica e violaria a integridade jurídica do instrumento contratual.
Q3 — Documentos KYC: sever-link
Para documentos de verificação de identidade (KYC) submetidos via Asaas (CPF, CNH, CNPJ, fotos de documento), aplicamos o padrão sever-link:
- Ao receber uma solicitação de eliminação, os arquivos de documentos são excluídos do armazenamento S3 e as colunas com dados identificadores (tipo de documento, número, dados de verificação) são nuladas no banco de dados.
- O registro de verificação em si é mantido (com
is_anonymized = true), sem qualquer dado identificador, para garantir a integridade referencial do histórico financeiro e de auditoria fiscal. - A retenção do registro de verificação anonimizado fundamenta-se no art. 16 §I (obrigação legal fiscal) e na necessidade de integridade do rastro de auditoria de transações financeiras.
11. Crianças e adolescentes
"Portal da Obra é uma plataforma B2B para sourcing corporativo na construção civil. A coleta de dados pessoais de menores não é prevista pelo design da plataforma. Caso dados de um menor sejam coletados inadvertidamente, o controlador exercerá a eliminação imediata nos termos do art. 18, IV da LGPD."
Todos os usuários da plataforma são representantes corporativos de pessoas jurídicas. Se você acredita que dados de um menor foram coletados inadvertidamente, entre em contato imediatamente com nosso DPO em <<DPO_EMAIL>>.
12. Mudanças nesta Política
<<COMPANY_NAME>> pode atualizar esta Política de Privacidade periodicamente para refletir mudanças nas nossas práticas de tratamento de dados, em resposta a alterações na legislação (LGPD e regulamentos da ANPD) ou por decisão operacional.
Versionamento: cada versão publicada recebe um número de versão (ex.: 1.0.0) e uma data de atualização, registrados na tabela terms_versions da plataforma.
Aviso de mudanças: em caso de alteração material desta Política, você será notificado por e-mail e por um modal de reaceitação não dispensável exibido na próxima vez que acessar a plataforma.
Histórico de aceites: seus aceites anteriores são registrados com data, versão aceita, IP e User Agent na tabela terms_acceptances, para fins de comprovação nos termos do art. 8º §2 da LGPD.
13. Contato
Para dúvidas, solicitações de exercício de direitos ou reclamações relacionadas ao tratamento dos seus dados pessoais:
| Canal | Informação |
|---|---|
| Encarregado (DPO) | <<DPO_NAME>> — <<DPO_EMAIL>> |
| Portal de autoatendimento | /dashboard/privacy |
| ANPD | Para reclamações perante a autoridade reguladora: www.gov.br/anpd |
Respondemos em até 15 dias a partir do recebimento da solicitação, nos termos do art. 19 da LGPD.
Privacy Policy
Last updated: <<EFFECTIVE_DATE>>
This policy describes how <<COMPANY_NAME>> collects, uses, shares, and protects your personal data in accordance with the Lei Geral de Proteção de Dados (LGPD — Law No. 13,709/2018) and its subsequent amendments.
1. Who we are
<<COMPANY_NAME>> (hereinafter "we", "us", or "Portal da Obra") is the legal entity that acts as the controller of personal data processed on this platform, as defined by LGPD Art. 5 §VI.
| Information | Value |
|---|---|
| Legal name | <<COMPANY_NAME>> |
| CNPJ | <<COMPANY_CNPJ>> |
| Address | <<COMPANY_ADDRESS>> |
| Website | https://portaldaobra.com.br |
About the platform: Portal da Obra is a B2B marketplace for corporate construction sourcing. The platform connects clients (contracting companies) with contractors (vendor companies), enabling the opening of quotes (BIDs), vendor invitations, proposal evaluation, contract award, electronic signature collection via Assinafy, and project execution tracking.
All users are corporate representatives (natural persons acting on behalf of legal entities). The platform is not directed at individual end consumers.
2. Data Protection Officer (DPO)
In compliance with LGPD Art. 41 and Art. 9 of Resolution CD/ANPD No. 18/2024, <<COMPANY_NAME>> has designated a Data Protection Officer (DPO).
| Information | Value |
|---|---|
| Name | <<DPO_NAME>> |
| Contact email | <<DPO_EMAIL>> (default: dpo@portaldaobra.com.br) |
DPO commitments (Res. 18/2024):
- Art. 10 §IV — The controller ensures that data subjects have fast, effective, and adequate means to communicate with the DPO and exercise their rights.
- Art. 13 — The DPO communicates with data subjects and the ANPD clearly and precisely in Portuguese.
- LGPD Art. 41 §1 — The DPO's identity and contact information are publicly disclosed in a prominent, easily accessible location on this website and within the platform.
The DPO accepts complaints, provides clarifications, takes appropriate action, and serves as the point of contact with the ANPD (Res. 18/2024, Art. 15).
3. What data we collect
We collect personal data in the following categories. For the complete field-by-field inventory, refer to the Record of Processing Activities (RoPA).
| Category | Examples | Source |
|---|---|---|
| Identification | Full name, email, phone, address, postal code, company legal name, trade name | User-provided |
| Financial | Wallet balance, transaction history, PIX key (encrypted), contract values, Asaas transaction ID | System / user-provided |
| KYC / Identity verification | Document type and number (CPF, RG, CNPJ, IE, CCM, CREA/CAU), biometric/documentary data submitted to Asaas, verification hash | User-provided |
| Free-text | BID chat messages, Q&A questions and answers, project descriptions, proposal notes, rejection reasons | User-provided |
| Behavioral | Last login, preferred locale, access origin (web/backoffice), notification preferences | System |
| Technical | Contract acceptance IP, User Agent, password reset token hash, Cognito sub | System |
| Consent evidence | IP and User Agent at contract/terms acceptance, terms acceptance timestamp, terms acceptance records | System |
Note on free-text fields: open-text fields (chat, Q&A, descriptions) may contain personal data of third parties inserted by the user themselves. We recommend not inserting unnecessary personal data in these fields.
Note on third-party references: we collect the name, email, and phone of reference contacts indicated by contractors during the vetting process. These contacts did not directly provide consent to the platform. If you are a reference contact and wish to exercise your rights under LGPD Art. 18, please contact our DPO.
4. Legal bases
The processing of each category of personal data is grounded in at least one of the legal grounds set out in LGPD Art. 7 (general personal data) or Art. 11 (sensitive personal data).
| Category | LGPD legal basis | Concrete example |
|---|---|---|
| Identification | Art. 7 §V — contract execution | User name and CNPJ are required to issue contracts and BIDs on the platform |
| Financial | Art. 7 §II — compliance with legal obligation + Art. 16 §I — retention exception | Financial transactions retained for 5 years under fiscal obligation (Receita Federal) |
| KYC / biometric (documents) | Art. 11 §II.g — fraud prevention and data subject security in electronic identity verification processes | CPF and documents submitted to Asaas for identity verification and fraud prevention |
| KYC (tax data: CNPJ, IE) | Art. 7 §II — legal obligation (NF-e, ISS) + Art. 7 §V — contract execution | CNPJ required for fiscal invoicing and contract formalization |
| Marketing / commercial communications | Art. 7 §I — consent | Email marketing only after explicit consent at registration or in the preferences panel |
| Free-text (business operations) | Art. 7 §IX — legitimate interest | BID negotiation messages retained for process continuity and dispute resolution |
| Behavioral / technical | Art. 7 §IX — legitimate interest | Last login and User Agent used for session security monitoring |
| Consent evidence | Art. 7 §I — consent + Art. 8 §2 — controller's burden of proof | IP and timestamp of terms acceptance retained to demonstrate consent to the ANPD |
5. Purposes of processing
We process your personal data for the following purposes:
- B2B construction sourcing service delivery — creating and managing quotes (BIDs), inviting vendors, evaluating proposals, awarding contracts.
- Contract execution — generating, rendering, and immutably storing contracts electronically signed via Assinafy (LGPD Art. 7 §V).
- Payment processing — operating digital wallets and transactions via Asaas (sub-accounts linked to clients and contractors).
- Identity verification (KYC) — verifying documents and preventing fraud to enable financial transactions (LGPD Art. 11 §II.g).
- Sending notifications — operational alerts (new proposals, BID status changes, contract signing, financial transactions) via email and in-app notifications.
- Security and fraud prevention — session monitoring, audit logs, access control.
- Compliance with legal obligations — fiscal retention of financial records, responding to requests from competent authorities.
- Marketing (only with consent) — communications about new platform features and relevant content for the construction industry.
- Platform improvement — usage analytics via Google Tag Manager (GTM-PHFRLWGJ), subject to your analytics cookie consent.
6. Sharing and subprocessors
We share personal data with the following subprocessors, only to the extent necessary for the stated purposes:
| Subprocessor | Purpose | Region | LGPD basis |
|---|---|---|---|
| AWS (RDS + S3 + Cognito) | Database, file storage, authentication | us-east-1 (USA) | Art. 33 §II.b — standard contractual clauses under AWS DPA (see disclosure below) |
| AWS SES | Email delivery (QA and production) | sa-east-1 (Brazil) | Domestic — Art. 33 not applicable |
| Asaas | Payments + user KYC | Brazil | Domestic — Art. 33 not applicable |
| Assinafy | Electronic contract signing | Brazil | Domestic — Art. 33 not applicable |
| AgentMail | Email delivery (local/dev) | USA | Art. 33 §II.b — standard contractual clauses under DPA (pending formalization) |
| Sentry | Error tracking (web + api) | USA | Art. 33 §II.b — standard contractual clauses under DPA (pending formalization) |
We do not sell or rent your personal data to third parties for advertising purposes.
Subprocessor change policy: the addition of a new subprocessor that accesses platform customer personal data requires 30 days' prior notice by email to all account administrators before activation.
Required disclosure — AWS international transfer
"Personal data stored in AWS infrastructure is processed in the us-east-1 region (United States), constituting an international transfer governed by Article 33 §II.b of the LGPD, under standard contractual clauses pursuant to the Data Processing Agreement in effect with Amazon Web Services, Inc."
7. Retention
Personal data is retained for the minimum period necessary for the stated purposes, subject to the following schedules:
| Data type | Period | Legal basis |
|---|---|---|
| Identification and operational data (non-transacted) | 30 days after account deletion, followed by anonymization | Art. 12 (anonymized data falls outside LGPD scope) |
| Financial and fiscal records | 5 years after the close of the corresponding fiscal year | Art. 16 §I — legal obligation (Receita Federal) |
| Electronically signed contracts | Indefinite — cryptographic immutability required for legal integrity | Art. 7 §V — contract execution; Art. 16 §I — legal obligation |
| Consent evidence | Indefinite (for proof before the ANPD) | Art. 8 §2 — controller's burden of proof |
| KYC documents | 5 years (Art. 16 §I); at expiry, sever-link: PII columns nulled + S3 file deleted | Art. 16 §I |
| Authentication tokens and password reset tokens | Only for the validity period of the session / token | Art. 18 §IV — immediate hard-delete |
8. Data subject rights
Under LGPD Art. 18, you have the following rights with respect to personal data processed by <<COMPANY_NAME>>:
| Right | Description | How to exercise |
|---|---|---|
| §I — Confirmation | Confirm that your data is being processed | Portal /dashboard/privacy or email to the DPO |
| §II — Access | Access your personal data | Portal /dashboard/privacy (export) or email to the DPO |
| §III — Correction | Correct incomplete, inaccurate, or outdated data | Portal /dashboard/privacy or email to the DPO |
| §IV — Anonymization / blocking / deletion | Request anonymization, blocking, or deletion of unnecessary data or data processed in violation of the LGPD | Portal /dashboard/privacy or email to the DPO |
| §V — Portability | Request portability of your data to another service provider | Email to the DPO (export in open format) |
| §VI — Deletion | Request deletion of consent-based data | Portal /dashboard/privacy or email to the DPO |
| §VII — Sharing information | Obtain information about entities with whom we share your data | This policy, §6, or email to the DPO |
| §VIII — Non-consent information | Be informed about the option not to give consent and its consequences | This policy and the registration flow |
| §IX — Consent revocation | Revoke consent for consent-based processing (e.g., marketing) | Portal /dashboard/privacy — consent preferences panel |
Response time: We respond to data subject requests within 15 days, pursuant to LGPD Art. 19.
Self-service portal: the /dashboard/privacy portal allows you to exercise access, export, correction, and deletion rights without emailing the DPO.
Alternative contact: For complex requests or requests that cannot be handled through the portal, email the DPO at <<DPO_EMAIL>>.
9. Cookies
This platform uses cookies. For detailed information about the types of cookies used, their purposes, and how to manage them, please refer to our Cookie Policy.
In summary, we use three categories of cookies:
- Essential — always active; required for authentication and platform functionality.
- Analytics — only with your consent; used for usage analysis via Google Tag Manager (GTM-PHFRLWGJ).
- Marketing — only with your consent; reserved for future use.
10. Deletion and anonymization
Default rule: anonymize-by-default
When you request account deletion or exercise the right to erasure (LGPD Art. 18 §IV), we apply the following rule: rather than destroying historical records that could undermine the integrity of past transactions, we anonymize identifying fields — replacing name, email, CPF, CNPJ, phone, address, and other identifying data with neutral values (e.g., "Removed User") or nulls.
Anonymized data ceases to be personal data under LGPD Art. 12 (data that cannot be associated, directly or indirectly, with the identity of an individual by reasonable technical means).
Financial and fiscal records are retained for the legally required period (5 years, Art. 16 §I) linked to the anonymized record.
Q5 — Signed contracts: irreversible preservation
"When you sign a contract through the platform, your identification data is preserved in the signed document in an irreversible manner, as required for the legal integrity of the contract (LGPD Art. 7 §V — contract execution — and Art. 16 §I — compliance with legal obligation)."
This means the signed PDF, the signature certificate, and the contract body snapshot — which contain your name and identifying data — are retained indefinitely. Altering these documents would invalidate the electronic signature and violate the legal integrity of the contractual instrument.
Q3 — KYC documents: sever-link
For identity verification documents (KYC) submitted via Asaas (CPF, driver's license, CNPJ, document photos), we apply the sever-link pattern:
- Upon receiving a deletion request, document files are deleted from S3 storage and the columns containing identifying data (document type, number, verification data) are nulled in the database.
- The verification record itself is retained (with
is_anonymized = true), without any identifying data, to preserve the referential integrity of the financial and fiscal audit history. - Retention of the anonymized verification record is grounded in Art. 16 §I (legal fiscal obligation) and the need to maintain the integrity of the financial transaction audit trail.
11. Children and adolescents
"Portal da Obra is a B2B platform for corporate construction sourcing. Collection of personal data from minors is not anticipated by design. If a minor's data is inadvertently collected, the controller exercises immediate deletion under LGPD Art. 18 §IV."
All platform users are corporate representatives of legal entities. If you believe a minor's data has been inadvertently collected, please contact our DPO immediately at <<DPO_EMAIL>>.
12. Changes to this Policy
<<COMPANY_NAME>> may update this Privacy Policy periodically to reflect changes in our data processing practices, in response to legislative changes (LGPD and ANPD regulations), or for operational reasons.
Versioning: each published version receives a version number (e.g., 1.0.0) and an update date, recorded in the terms_versions table of the platform.
Notice of changes: in the event of a material change to this Policy, you will be notified by email and by a non-dismissible re-acceptance modal displayed the next time you access the platform.
Acceptance history: your previous acceptances are recorded with date, accepted version, IP, and User Agent in the terms_acceptances table, for evidentiary purposes under LGPD Art. 8 §2.
13. Contact
For questions, requests to exercise rights, or complaints related to the processing of your personal data:
| Channel | Information |
|---|---|
| Data Protection Officer (DPO) | <<DPO_NAME>> — <<DPO_EMAIL>> |
| Self-service portal | /dashboard/privacy |
| ANPD | For complaints to the regulatory authority: www.gov.br/anpd |
We respond within 15 days of receiving the request, pursuant to LGPD Art. 19.
The DPO will communicate with you in Portuguese, in accordance with the commitment established by Art. 13 of Resolution CD/ANPD No. 18/2024.