LGPD

1. Sobre a LGPD

A Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709, de 14 de agosto de 2018) é a legislação brasileira que regula as atividades de tratamento de dados pessoais de pessoas físicas. Ela estabelece regras claras sobre coleta, armazenamento, uso e compartilhamento de dados pessoais, com o objetivo de proteger os direitos fundamentais de liberdade e privacidade.

O Cotract está comprometido com a conformidade plena à LGPD em todas as suas operações. Este documento complementa nossa Política de Privacidade com informações específicas exigidas pela lei.

2. Quem é controlador e quem é operador

A LGPD separa dois papéis. Controlador é quem decide por que e como um dado pessoal é tratado. Operador é quem trata esse dado em nome do controlador. No Cotract os dois papéis existem ao mesmo tempo, em camadas diferentes, e saber qual é qual define de quem o titular pode cobrar o quê.

2.1 O Cotract é controlador dos dados da sua conta

Quando você se cadastra, contrata um plano ou navega pelo site, quem decide a finalidade somos nós. Isso cobre nome, e-mail, telefone, CPF ou CNPJ de cadastro, dados de plano e cobrança, registros de acesso e dados de navegação. Para esses dados você exerce seus direitos diretamente conosco.

Controlador: Rafael Willians Pereira Ferreira, CNPJ 66.129.280/0001-40, atuando sob o nome Cotract.
Endereço: Rua Trem da Juventude, 315, Vila Paranaguá, São Paulo/SP, CEP 03807-375.
Contato: privacidade@cotract.app.

2.2 O Cotract é operador do conteúdo dos seus contratos

Tudo que você escreve, envia ou gera dentro da plataforma segue regra diferente. O contrato que você redige, o documento que sobe no Validador, os dados da outra parte, dos signatários e das testemunhas: nada disso é decidido por nós. Quem escolhe coletar, para quê e por quanto tempo é você.

Nesse fluxo você é o controlador e o Cotract é o operador. Tratamos esses dados apenas para executar o serviço que você contratou e conforme a sua instrução. Isso vale inclusive quando você é escritório de advocacia, contabilidade ou imobiliária tratando dados dos seus próprios clientes.

2.3 O que cabe a você, como controlador

• Ter base legal para tratar os dados que insere, inclusive os de terceiros que não são usuários da plataforma
• Informar esses titulares sobre o tratamento, quando for o caso
• Responder aos pedidos de direitos desses titulares
• Não inserir dado pessoal sensível (art. 5º, II, da LGPD) sem base legal adequada
• Manter os dados exatos e corrigir o que estiver errado
• Definir por quanto tempo aquele contrato precisa continuar existindo na plataforma

2.4 O que cabe ao Cotract, como operador

• Tratar os dados apenas conforme a sua instrução e para a finalidade do serviço
• Não usar o conteúdo dos seus contratos para treinar modelos de inteligência artificial
• Manter medidas de segurança: criptografia em trânsito e em repouso, isolamento de acesso por conta e por organização, e trilha de auditoria
• Manter confidencialidade sobre o que você trata na plataforma
• Ajudar você a atender pedidos de titulares, dentro do que for tecnicamente possível
• Comunicar você, sem demora, sobre incidente de segurança que atinja os seus dados
• Eliminar ou devolver os dados ao término do tratamento, na forma dos arts. 15 e 16 da LGPD

2.5 Suboperadores

Para prestar o serviço contratamos terceiros que tratam dados em nosso nome, sob contrato e com obrigação de confidencialidade. A lista está na seção 6 desta página. Ao contratar o serviço você autoriza esse uso. Mudança relevante nessa lista será comunicada com antecedência razoável.

2.6 Se um titular procurar o Cotract diretamente

Se alguém que aparece em um contrato seu nos procurar pedindo acesso, correção ou exclusão, não vamos decidir no seu lugar. Encaminhamos o pedido a você, que é o controlador, e informamos ao titular quem é o controlador, salvo quando a lei ou a ANPD determinar de outro modo.

2.7 Quando os papéis se invertem

Se você foi convidado a assinar um contrato criado por outra pessoa, o controlador daqueles dados é quem criou o contrato. Não é você e não somos nós. Nesse caso encaminhe o seu pedido a quem enviou o convite, e escreva para privacidade@cotract.app se não conseguir resposta.

3. Base legal para tratamento

O tratamento de dados pessoais pelo Cotract fundamenta-se nas seguintes hipóteses previstas no art. 7º da LGPD:

• Execução de contrato (art. 7º, V): tratamento necessário para prestação do serviço contratado: criação de conta, geração de contratos, assinaturas digitais
• Legítimo interesse (art. 7º, IX): melhorias do produto, segurança da plataforma e prevenção a fraudes, sempre de forma balanceada com os direitos dos titulares
• Cumprimento de obrigação legal (art. 7º, II): retenção de dados para fins fiscais, tributários e cumprimento de ordens judiciais
• Consentimento (art. 7º, I): para comunicações de marketing opcionais e coleta de dados não essenciais ao serviço

4. Categorias de dados tratados

Dados dos usuários cadastrados

• Nome e endereço de e-mail (identificação)
• Dados de perfil e organização (quando fornecidos)
• Histórico de uso e contratos gerados
• Dados de pagamento, tratados diretamente pelo Stripe (não armazenamos dados sensíveis de cartão)
• Logs de acesso, IP e informações de dispositivo

Dados de signatários

• Nome e e-mail (para envio do link de assinatura)
• Registro de assinatura: IP, timestamp, user agent (trilha de auditoria jurídica)
• Imagem da assinatura digitalizada

O Cotract não trata dados sensíveis (art. 5º, II da LGPD) como dados de saúde, biometria, orientação sexual, origem racial ou religiosa.

5. Finalidades do tratamento

• Criação e gerenciamento de conta de usuário
• Prestação do serviço de geração de contratos com IA
• Execução do fluxo de assinatura digital e geração de trilha de auditoria
• Processamento de pagamentos e controle de acesso por plano
• Envio de notificações transacionais (alertas de vencimento, confirmações)
• Segurança, detecção de fraudes e manutenção do sistema
• Cumprimento de obrigações legais e regulatórias

6. Compartilhamento com terceiros

Dados pessoais podem ser compartilhados apenas com os seguintes parceiros, todos vinculados a acordos de confidencialidade e conformidade com leis de proteção de dados:

• Supabase Inc.: infraestrutura de banco de dados e autenticação (servidores nos EUA; Standard Contractual Clauses aplicáveis)
• Stripe Inc.: processamento de pagamentos (PCI-DSS certificado)
• Google LLC (Estados Unidos): modelos de inteligência artificial para geração e análise de contratos. Recebe o texto que você descreve e as respostas do assistente, que podem conter dados pessoais das partes.
• Autoridades competentes: mediante ordem judicial ou requisição legal fundamentada

Não compartilhamos dados com anunciantes ou para fins de marketing de terceiros.

6.1. Transferência internacional de dados

Parte do tratamento acontece fora do Brasil. Supabase Inc., Stripe Inc. e Google LLC mantêm infraestrutura nos Estados Unidos, o que caracteriza transferência internacional de dados pessoais nos termos dos artigos 33 a 36 da LGPD.

Isso é relevante especialmente na geração de contratos: o texto que você descreve e as respostas que fornece ao assistente são enviados ao provedor de inteligência artificial para produzir o documento. Se esse texto contiver nome, CPF, endereço ou qualquer outro dado pessoal das partes, esse dado sai do território nacional.

A salvaguarda é contratual, e o mecanismo varia por fornecedor. Descrevemos como é, e não como gostaríamos que fosse:

• Google: cláusulas-padrão contratuais brasileiras, nos termos da Resolução CD/ANPD nº 19/2024, incorporadas ao acordo de tratamento de dados.
• Supabase e Stripe: acordos de tratamento de dados com cláusulas contratuais-padrão internacionais. Os instrumentos públicos desses fornecedores ainda não trazem o texto específico aprovado pela ANPD, e estamos tratando a adequação com cada um.

O que está sob seu controle: você não precisa incluir dados pessoais na descrição livre enviada ao assistente. É possível descrever o contrato de forma genérica e preencher nomes, documentos e endereços depois, na edição. O conteúdo editado não é reenviado ao provedor de IA.

Para saber quais fornecedores recebem quais categorias de dado, ou para pedir cópia do mecanismo de salvaguarda aplicável, fale com o Encarregado pelos canais da seção 10.

7. Retenção e exclusão

• Dados de conta ativa: mantidos enquanto a conta estiver ativa
• Após encerramento de conta: exclusão em até 30 dias, exceto onde a lei exija retenção maior
• Trilha de auditoria de assinaturas: mantida por 5 anos para fins de validade jurídica dos contratos assinados
• Dados fiscais e financeiros: conforme exigência do Código Tributário Nacional (mínimo 5 anos)
• Logs de segurança: até 6 meses, salvo investigação em curso

8. Seus direitos como titular

O art. 18 da LGPD garante os seguintes direitos ao titular dos dados:

9. Como exercer seus direitos

Para exercer qualquer dos direitos acima, envie uma solicitação para privacidade@cotract.app contendo:

• Nome completo e e-mail cadastrado na plataforma
• Descrição clara do direito que deseja exercer
• Documentação de identidade (quando necessário para confirmação)

Respondemos em até 15 dias úteis, conforme prazo legal. Em caso de solicitações complexas, o prazo pode ser prorrogado com notificação prévia.

O exercício dos direitos é gratuito, exceto quando as solicitações forem manifestamente infundadas, excessivas ou repetitivas. Nesses casos podemos cobrar taxa razoável ou recusar o atendimento, com justificativa.

10. Encarregado de Dados (DPO)

Em conformidade com o art. 41 da LGPD, o Cotract designou um Encarregado pelo Tratamento de Dados Pessoais (Data Protection Officer, DPO), responsável por:

• Aceitar reclamações e comunicações dos titulares
• Prestar esclarecimentos e adotar providências
• Orientar colaboradores e contratados sobre práticas de proteção de dados
• Interagir com a Autoridade Nacional de Proteção de Dados (ANPD)

Encarregado designado: Rafael Willians Pereira Ferreira, Fundador do Cotract.
Contato do Encarregado: privacidade@cotract.app

Como agente de tratamento de pequeno porte, o Cotract não estaria obrigado a indicar encarregado, bastando manter canal de comunicação com o titular (Resolução CD/ANPD nº 2, de 27 de janeiro de 2022). Optamos por indicar mesmo assim, e por dizer o nome de quem responde.

11. Autoridade Nacional de Proteção de Dados

Se você considerar que suas solicitações não foram atendidas de forma satisfatória, tem o direito de apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD), órgão responsável por fiscalizar o cumprimento da LGPD no Brasil.

Site da ANPD: www.gov.br/anpd

Recomendamos que, antes de acionar a ANPD, você entre em contato conosco para tentarmos resolver a questão diretamente.