Política de Privacidade

Nossos papéis

• Controladores: somos controladores dos dados de conta e cadastro, de cobrança, de atendimento, de segurança e auditoria, e dos dados dos divulgadores e dos candidatos a divulgador.
• Operadores: quanto aos dados operacionais que a organização insere (centros de custo, despesas, descrições, regras, relatórios e anexos), que podem conter dados pessoais de terceiros, a organização é a controladora e nós tratamos esses dados em nome dela, apenas para prestar o serviço e conforme as suas instruções. Cabe à organização ter base legal para inserir dados de terceiros.

Dados que coletamos

• Conta e usuários: nome, e-mail, senha (guardada apenas em forma de hash), CPF (quando informado), foto de perfil (opcional), perfil de acesso (gestor ou colaborador), situação da conta e registro do aceite dos Termos de Uso e desta política no cadastro (data, versão e endereço IP). Isso inclui os dados dos colegas que a organização cadastra ou aprova.
• Organização: nome, razão social, CNPJ, e-mail, telefone e endereço.
• Dados operacionais: centros de custo, despesas, regras, bases e execuções de rateio, orçamentos e relatórios cadastrados ou gerados pela organização.
• Cobrança e pagamento: dados do pagador informados no checkout (nome, CPF/CNPJ, e-mail, telefone e endereço), histórico de faturas (plano, valor, forma de pagamento, situação, link do comprovante do Asaas) e o cupom utilizado. Os dados do cartão passam pelo nosso servidor apenas para encaminhamento ao Asaas e autorização do pagamento; o número, a validade e o código de segurança não são armazenados em nosso banco de dados nem na sessão. Quando você autoriza a renovação automática, guardamos apenas o código (token) do cartão fornecido pelo Asaas.
• Atendimento: assunto, categoria, mensagens, anexos (JPG, PNG, PDF ou XLSX) e histórico dos chamados, e o registro de quem os abriu e respondeu. Vale tanto para chamados de usuários de organizações quanto para chamados de divulgadores.
• Documentos emitidos: para cada PDF ou Excel gerado, guardamos o código único, a impressão digital (SHA-256), o nome do arquivo, o emissor, a data e uma cópia do conteúdo do relatório no momento da emissão, além da quantidade de verificações e da data da última.
• Uso e segurança: endereço IP, navegador e dispositivo, datas e horários de acesso, tentativas de login, registros de sessão e a trilha de auditoria das ações realizadas pela nossa equipe administrativa (com IP).
• Divulgadores: nome, e-mail, CPF/CNPJ e telefone (quando informados), chave PIX ou dados para depósito, anotações internas, data e IP do último acesso, cupons criados, aceite das regras de cupom (data, versão dos Termos e IP), comissões, pagamentos recebidos e comprovantes, chamados de atendimento e anexos, e os extratos anuais para o Imposto de Renda que o divulgador gera (o PDF é montado na hora a partir dos pagamentos registrados; não guardamos uma cópia do arquivo).
• Candidatos a divulgador: na inscrição pela página do Programa de Indicação, nome, CPF ou CNPJ, e-mail, telefone, cidade e estado, área de atuação e, se informado, como pretende divulgar; a declaração de maioridade e o aceite dos Termos e desta Política (data, versão e IP); e o resultado da análise (aprovada ou recusada, data, responsável e, quando houver, o motivo). Aprovada a inscrição, esses dados passam a compor o cadastro do divulgador.
• Avaliações: quando você responde ao pedido de avaliação no painel, guardamos a nota (1 a 5 estrelas), o comentário, a data, a sua conta e, para usuários de organizações, a organização e o plano naquele momento. Se preferir não responder, guardamos só até quando adiar o pedido.
• Indicações: o vínculo entre a organização, o cupom e o divulgador, o desconto concedido, os valores pagos e as comissões geradas.

Para que usamos e em que base legal

• Prestar o serviço contratado (rateio de custos, relatórios, atendimento, conta e acessos) — execução de contrato.
• Processar pagamentos, emitir cobranças e gerenciar assinaturas — execução de contrato e cumprimento de obrigação legal ou regulatória.
• Enviar comunicações operacionais por e-mail (confirmação de cadastro, convites, cobrança e renovação, respostas de chamados, alertas de segurança, redefinição de senha) — execução de contrato e legítimo interesse.
• Autenticidade de documentos: emitir e verificar documentos com código único e impedir fraudes — execução de contrato e legítimo interesse.
• Programa de Divulgação: criar cupons, apurar e pagar comissões, prevenir fraudes e aplicar as regras do Programa — execução de contrato e legítimo interesse.
• Inscrições no Programa de Indicação: analisar a inscrição, responder por e-mail, impedir inscrições duplicadas com o mesmo CPF ou CNPJ e, se aprovada, criar o acesso do divulgador — procedimentos preliminares a contrato, a pedido do titular, e legítimo interesse (prevenção a fraudes).
• Segurança, prevenção a fraudes e auditoria (incluindo o controle do que a nossa equipe acessa) — legítimo interesse e cumprimento de obrigação legal.
• Melhorar a plataforma e comunicar mudanças importantes no serviço, inclusive a partir das avaliações que você envia (lidas só pela nossa equipe, sem publicação) — legítimo interesse.
• Cumprir obrigações legais, atender ordens de autoridades e exercer direitos em processos — obrigação legal e exercício regular de direitos.

Não vendemos seus dados nem os usamos para publicidade de terceiros.

Com quem compartilhamos

Compartilhamos informações apenas quando necessário, sempre com obrigações de confidencialidade e segurança:

• Asaas — gateway de pagamento, para processar cobranças (dados do pagador e do pagamento).
• KingHost (king.host) — hospedagem da plataforma.
• Provedores de infraestrutura — banco de dados, armazenamento de arquivos e envio de e-mails transacionais.
• Google — reCAPTCHA (quando ativo, em login, cadastro e recuperação de senha) e fontes tipográficas; e Cloudflare (cdnjs) — bibliotecas de interface. Nessas requisições o navegador envia seu IP e dados técnicos a esses provedores (veja o item 11).
• Gestores da mesma organização — veem os usuários da organização e os chamados abertos por ela, e recebem por e-mail os chamados e as respostas (com anexos). Os chamados de divulgadores não são vistos por nenhuma organização: só pelo divulgador e pela nossa equipe.
• Divulgadores — recebem apenas as informações descritas no item 5.
• Quem tiver acesso a um documento emitido — pela verificação pública (item 6).
• Autoridades competentes — quando exigido por lei ou ordem judicial.

A nossa equipe administrativa acessa dados de organizações, usuários, chamados, faturas e documentos apenas para operar, dar suporte e proteger o serviço, e essas ações ficam registradas em trilha de auditoria.

Indicações: o que cada lado vê

• O divulgador NÃO recebe o nome, os contatos nem os dados cadastrais da empresa indicada. Vê apenas um identificador anônimo (ex.: "Cliente #12"), o plano, o valor de cada pagamento, a comissão e as datas.
• A empresa indicada não vê dados pessoais do divulgador: no checkout aparece apenas o código do cupom usado. O vínculo com o divulgador serve para apurar a comissão e não altera o preço nem o serviço.
• Nossa equipe vê o vínculo completo (empresa, cupom, divulgador) para operar o Programa e pagar as comissões.

Verificação pública de documentos

Cada relatório em PDF ou Excel emitido tem um código único (no PDF, também em QR code) que pode ser verificado por qualquer pessoa, sem login, na página pública de verificação, informando o código, abrindo o link ou enviando o arquivo.

Quem tiver o código, o link ou o arquivo pode ver as informações do relatório — dados da organização, período, valores, centros de custo, despesas e o nome de quem o emitiu. Por isso, compartilhe os arquivos apenas com quem deve ter acesso; ao compartilhar, você autoriza esse acesso. Na verificação, registramos apenas a quantidade de consultas de cada código e a data da última, sem identificar quem consultou. Podemos revogar um documento a pedido da organização ou por outros motivos previstos nos Termos.

Transferência internacional

A plataforma é hospedada pela KingHost, e os dados podem ser armazenados e tratados em servidores no Brasil ou no exterior, conforme a infraestrutura utilizada pelo provedor. Outros provedores citados, como Google, Cloudflare e provedores de e-mail, também podem tratar dados fora do Brasil. Nesses casos, buscamos garantias adequadas de proteção, conforme a LGPD (art. 33).

Armazenamento e retenção

Seus dados são armazenados em banco de dados com controle de acesso restrito por organização, e os anexos ficam em armazenamento privado, entregues apenas a quem tem autorização.

• Enquanto a conta existir: mantemos os dados pelo tempo necessário para prestar o serviço. Ao cancelar um plano pago, a organização volta ao plano Gratuito e seus dados continuam disponíveis dentro dos limites desse plano.
• Exclusão a pedido: você pode pedir a exclusão da conta e dos dados por e-mail. Atendemos o pedido, ressalvadas as informações que devemos ou podemos manter por obrigação legal, para exercício de direitos ou para prevenção a fraudes.
• O que pode ser mantido após a exclusão: registros de cobrança e fiscais, pelo prazo de 5 (cinco) anos ou o exigido em lei; registros de indicações, comissões e pagamentos a divulgadores (que são obrigações financeiras); a trilha de auditoria de ações administrativas; e registros de acesso pelo prazo legal (Marco Civil da Internet, Lei nº 12.965/2014).
• Inscrições no Programa de Indicação: a inscrição aprovada passa a integrar o cadastro do divulgador. A recusada é mantida como histórico para a análise de novas inscrições do mesmo CPF ou CNPJ e para exercício de direitos. Qualquer inscrição pode ser excluída a pedido do titular (pelo e-mail de contato), ressalvadas as hipóteses legais; a exclusão apaga os dados da inscrição e mantém apenas o registro de que ela ocorreu.
• Vencidos os prazos, os dados são anonimizados ou excluídos.

Seus direitos (LGPD)

Como titular dos dados, você tem direito a:

• Confirmação e acesso — saber se tratamos seus dados e quais.
• Correção — solicitar a atualização de dados incompletos ou incorretos.
• Anonimização, bloqueio ou eliminação — dos dados desnecessários, excessivos ou tratados em desconformidade com a lei.
• Portabilidade — receber seus dados em formato estruturado.
• Informação sobre compartilhamento — saber com quem seus dados são compartilhados.
• Revogação do consentimento e oposição a tratamentos feitos com base em legítimo interesse, quando cabível.
• Reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

Para exercer esses direitos, envie um e-mail para contato@splitquota.com.br. Responderemos em até 15 dias úteis. Se você é usuário de uma organização, dados operacionais podem depender também da decisão da organização controladora.

Segurança

Adotamos medidas técnicas e organizacionais para proteger seus dados contra acesso não autorizado, perda ou alteração, incluindo:

• Comunicação criptografada via HTTPS/TLS.
• Senhas armazenadas apenas em forma de hash, e limite de tentativas de login.
• Controle de acesso por perfil (gestor e colaborador) e por organização, com áreas administrativa, de divulgadores e de clientes separadas, cada uma com sessão própria.
• Anexos e comprovantes em armazenamento privado, com conferência do tipo do arquivo pelo conteúdo e entrega apenas a quem tem permissão.
• Trilha de auditoria das ações da equipe administrativa e registro de quem executou e aprovou cada rateio.
• Código único e impressão digital (SHA-256) nos documentos emitidos, permitindo detectar adulteração.

Nenhum sistema é totalmente imune a falhas. Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos a ANPD e os titulares afetados, nos termos da LGPD (art. 48).

Cookies, armazenamento local e recursos de terceiros

• Cookies essenciais: mantêm a sua sessão e a proteção contra requisições forjadas (CSRF), e o cookie de "lembrar de mim" quando você o ativa. As áreas administrativa e de divulgadores usam cookies de sessão próprios, restritos ao seu endereço.
• Armazenamento local do navegador: guardamos o andamento do tour guiado de boas-vindas e o aceite do aviso de cookies, para não exibi-lo novamente no mesmo navegador. Ao limpar os dados do site no navegador, o aviso volta a aparecer.
• Sem publicidade: não usamos cookies de rastreamento publicitário nem vendemos dados de navegação.
• Recursos de terceiros: a plataforma carrega fontes do Google Fonts e bibliotecas do Cloudflare (cdnjs), e, quando ativo, o Google reCAPTCHA (que pode usar cookies próprios e dados de interação para distinguir pessoas de robôs). Ao carregar esses recursos, seu navegador envia seu IP e dados técnicos a esses provedores, que os tratam conforme as próprias políticas.

Crianças e adolescentes

O SplitQuota é destinado a empresas e a maiores de 18 anos. Não coletamos intencionalmente dados de crianças e adolescentes; se identificarmos, excluiremos.

Encarregado de Dados (DPO)

Nosso Encarregado de Proteção de Dados (DPO) está disponível para esclarecer dúvidas sobre privacidade e tratamento de dados pessoais:

Lucas Cezar Trentin

E-mail: contato@splitquota.com.br

Alterações desta política

Esta política pode ser atualizada periodicamente. Notificaremos usuários sobre alterações relevantes por e-mail com antecedência mínima de 15 dias. A versão e a data da última atualização constam no topo desta página.