Política de Privacidade e Proteção de Dados Pessoais

1. Sobre esta Política e seu alcance

Esta Política explica como dados pessoais são tratados no contexto da Aceitou, incluindo site, aplicativo, painel, fluxos de assinatura, integrações, APIs, suporte e funcionalidades relacionadas. Ela deve ser lida em conjunto com os Termos de Uso, contratos firmados com Clientes e avisos específicos exibidos em determinadas funcionalidades.

Serviços de terceiros integrados à Aceitou podem possuir políticas próprias. Quando o usuário escolher ou utilizar uma integração externa, o tratamento realizado por esse terceiro poderá seguir regras próprias, sem prejuízo das responsabilidades da Zyran sobre os tratamentos sob seu controle.

2. Quem é a Aceitou e qual é o papel da Zyran na LGPD?

A Aceitou é operada pela ZYRAN DIGITAL LTDA., CNPJ 67.656.393/0001-67, com sede na Avenida Presidente Antônio Carlos, nº 681, Loja 12, Bairro Lagoinha, Belo Horizonte/MG, CEP 31.210-010. Para assuntos de privacidade: privacidade@aceitou.com.br.

O papel da Zyran depende do tratamento realizado. Pela LGPD, controlador é quem toma as decisões relevantes sobre a finalidade e os meios do tratamento; operador é quem trata dados pessoais em nome do controlador.

Essa classificação não é meramente formal: a mesma empresa pode desempenhar papéis diferentes em tratamentos distintos. Por isso, a análise considera quem efetivamente decide a finalidade do uso dos dados, quais meios essenciais serão utilizados e quem executa as instruções. Prestadores que tratem dados para finalidades próprias — como determinadas instituições de pagamento ou autoridades públicas — poderão atuar como controladores independentes.

A Zyran atua como controladora, em regra, nos tratamentos necessários à criação e administração de contas, contratação e faturamento, segurança da plataforma, prevenção a fraudes, suporte, gestão de preferências, cumprimento de obrigações legais e defesa de direitos.

Em fluxos de assinatura, o Cliente normalmente escolhe o documento, os signatários, os campos e a finalidade do tratamento. Nesses casos, a Zyran poderá atuar como operadora, processando os dados de acordo com as instruções do Cliente. Pedidos relacionados ao conteúdo de documentos poderão, portanto, ser encaminhados ao Cliente controlador.

3. Quem participa da plataforma

Para facilitar a leitura: Cliente é quem contrata ou administra uma conta; Usuário é quem acessa a plataforma com perfil autorizado; Signatário é quem visualiza, preenche, aprova ou assina um documento; Documento é o arquivo ou conteúdo eletrônico processado na plataforma; Evidências de assinatura são os registros técnicos que ajudam a demonstrar autoria, integridade, data, hora e sequência dos atos eletrônicos.

4. Quais dados pessoais podem ser tratados

Os dados variam conforme o perfil, o plano contratado e os recursos ativados. Aplicamos o princípio da necessidade e buscamos tratar apenas o que for adequado às finalidades do serviço. Podem ser tratados:

• dados cadastrais e de conta: nome, e-mail, telefone, CPF, endereço quando necessário, empresa, cargo, CNPJ, credenciais, permissões e histórico de acesso;
• dados de signatários: nome, e-mail, telefone, CPF, campos preenchidos, registros de visualização, aceite, recusa, autenticação e assinatura;
• conteúdo de documentos e anexos, inclusive dados pessoais ou sensíveis inseridos pelo Cliente ou pelos participantes do fluxo;
• dados técnicos e de evidência: IP, data e hora, fuso horário, navegador, sistema operacional, dispositivo, sessão, logs, hash do documento, carimbo temporal, versão, método de autenticação e trilha de auditoria;
• geolocalização, documento de identidade, selfie, prova de vida ou biometria, apenas quando a funcionalidade estiver habilitada e houver fundamento jurídico adequado;
• dados comerciais, fiscais e de cobrança, além de mensagens, arquivos e registros de atendimento e suporte.

Dados de cartão ou conta bancária poderão ser tratados diretamente por prestadores especializados em pagamento. Nessa hipótese, a Aceitou poderá receber apenas identificadores, status de transação e informações necessárias à conciliação.

5. Como os dados chegam até a Aceitou

Os dados podem ser fornecidos diretamente pelo titular; pelo Cliente que cria o fluxo de assinatura; por integrações, APIs e sistemas autorizados; por prestadores de autenticação, prevenção a fraude, identidade, mensageria e pagamentos; ou ser coletados automaticamente por logs, cookies e tecnologias semelhantes durante o uso da plataforma.

Quando os dados forem fornecidos pelo Cliente, caberá a ele, na condição de controlador quando aplicável, garantir que possui base jurídica adequada para compartilhá-los com a Aceitou e prestar aos titulares as informações exigidas pela LGPD. A Zyran poderá adotar controles para restringir dados manifestamente excessivos ou incompatíveis com a finalidade do serviço, sem assumir a obrigação de revisar previamente o conteúdo jurídico de cada documento enviado.

6. Para que usamos os dados e quais bases legais podem ser aplicadas

A Aceitou não utiliza uma única base legal para todos os tratamentos. A base adequada depende da finalidade, do tipo de dado, do papel da Zyran e do contexto. Entre as principais finalidades estão:

Quando o consentimento for a base adequada, ele será solicitado de forma livre, informada, inequívoca e para finalidade específica, podendo ser revogado nos termos da LGPD. A revogação não invalida tratamentos anteriores nem afeta hipóteses de conservação autorizadas por lei.

O legítimo interesse, quando utilizado, será avaliado à luz da finalidade, necessidade, expectativa razoável do titular e salvaguardas aplicáveis. Para dados pessoais sensíveis, serão observadas exclusivamente as hipóteses legais próprias do art. 11 da LGPD. A Aceitou não condicionará o acesso a funcionalidades essenciais ao fornecimento de consentimento para finalidades que não sejam necessárias ao serviço.

7. Evidências de assinatura, identidade e dados sensíveis

Para conferir segurança e rastreabilidade às transações, a Aceitou pode registrar evidências como IP, data e hora, dispositivo, sessão, método de autenticação, hash, versões do documento e histórico de eventos. Esses registros podem compor certificado, relatório ou trilha de auditoria e ajudam a reconstruir tecnicamente o fluxo de assinatura.

A geração de evidências busca reforçar autenticidade, integridade, segurança e capacidade de prova. Ela não significa que a Aceitou ateste o conteúdo jurídico, econômico ou material do documento enviado pelo Cliente.

As evidências poderão ser associadas ao documento final por certificado, relatório técnico, identificadores únicos ou outros mecanismos de vinculação. A Aceitou poderá utilizar métodos de assinatura eletrônica previstos na legislação brasileira, inclusive meios diversos de certificado ICP-Brasil, desde que adequados ao fluxo contratado e aptos a demonstrar autoria e integridade conforme o contexto. O Cliente é responsável por escolher, entre os recursos disponíveis, o nível de autenticação compatível com o risco jurídico de sua operação.

Documentos podem conter dados sensíveis. A Aceitou não exige, por padrão, que Clientes insiram esse tipo de informação. Quando biometria, selfie, prova de vida ou documento de identidade forem utilizados para autenticação ou prevenção a fraude, o tratamento será limitado à finalidade informada e observará as hipóteses legais aplicáveis. O Cliente continua responsável por avaliar a legitimidade dos dados sensíveis que decide inserir em seus documentos.

8. Cookies e tecnologias semelhantes

Podemos usar cookies, armazenamento local e tecnologias semelhantes para login, segurança, prevenção a fraude, preferências, desempenho e análise de uso. Cookies estritamente necessários são utilizados para o funcionamento e a segurança do serviço. Cookies não essenciais, quando dependerem de consentimento, serão sujeitos a mecanismo de escolha e gerenciamento de preferências. A recusa de cookies não essenciais não deve impedir o uso das funções essenciais da plataforma.

As preferências poderão ser gerenciadas pelo banner ou painel de cookies, quando disponível, e também por configurações do navegador. O bloqueio de tecnologias estritamente necessárias poderá comprometer autenticação, continuidade de sessão ou outras funções essenciais. Informações mais específicas sobre cookies, fornecedores e prazos poderão ser disponibilizadas em aviso próprio.

9. Compartilhamento e transferências internacionais

A Aceitou não vende dados pessoais. O compartilhamento ocorre quando necessário para operar o serviço, cumprir obrigações, integrar funcionalidades ou proteger direitos. Os destinatários podem incluir provedores de nuvem e hospedagem; mensageria; autenticação e prevenção a fraude; processadores de pagamento; prestadores de suporte, desenvolvimento, auditoria, contabilidade e assessoria; Clientes e participantes autorizados do fluxo; e autoridades públicas ou terceiros legitimados, quando houver obrigação ou fundamento jurídico.

Sempre que compatível com o risco, fornecedores e parceiros são submetidos a obrigações de confidencialidade, segurança, limitação de finalidade e proteção de dados. Alguns fornecedores podem manter infraestrutura ou equipes fora do Brasil. Nessas hipóteses, a Zyran adotará mecanismo válido para transferência internacional nos termos da LGPD e da regulamentação da ANPD, considerando a natureza dos dados e as garantias disponíveis.

Nas transferências internacionais, poderão ser utilizados mecanismos admitidos pela ANPD, como cláusulas-padrão contratuais, decisões de adequação ou outras hipóteses previstas em lei e regulamento. Informações adicionais poderão ser fornecidas ao titular quando exigidas pela regulamentação ou quando necessárias à transparência do tratamento.

A contratação de operadores e suboperadores não afasta a responsabilidade da Zyran pelos tratamentos sob seu controle. A seleção de fornecedores considera, de forma proporcional ao serviço, requisitos de segurança, confiabilidade, continuidade, confidencialidade e proteção de dados. Quando a Zyran atuar como operadora, o uso de suboperadores observará o contrato firmado com o Cliente e as instruções aplicáveis.

10. Segurança da informação e incidentes

A Aceitou adota medidas técnicas e administrativas proporcionais à natureza dos dados e aos riscos do serviço, incluindo, conforme a arquitetura, controles de acesso e privilégios, autenticação, registros de atividade, segregação de ambientes, criptografia ou técnicas equivalentes, cópias de segurança, monitoramento, gestão de vulnerabilidades e procedimentos internos de resposta a incidentes.

Nenhum sistema é absolutamente imune a riscos. Usuários também devem proteger senhas, dispositivos e canais de autenticação e comunicar atividades suspeitas. Quando a Zyran atuar como controladora e um incidente puder acarretar risco ou dano relevante aos titulares, serão observadas as obrigações de avaliação e comunicação previstas na LGPD e na regulamentação da ANPD. Se atuar como operadora, a Zyran cooperará com o Cliente controlador conforme contrato e legislação aplicável.

A gestão de incidentes pode envolver registro do evento, contenção, investigação de causa, avaliação de dados e titulares afetados, medidas de remediação e preservação de evidências. A comunicação ao titular ou à ANPD será realizada quando preenchidos os requisitos legais e regulatórios, sem que esta Política constitua promessa de comunicação em hipóteses nas quais a legislação não a exija.

11. Por quanto tempo mantemos os dados

Mantemos dados apenas pelo tempo necessário às finalidades informadas, às instruções do Cliente quando atuarmos como operadora, às obrigações legais e regulatórias e à preservação de direitos. Os principais critérios são:

• registros de acesso: pelo prazo mínimo legal quando aplicável, sem prejuízo de determinações de conservação por período maior;
• dados de conta, contratação e faturamento: durante a relação e, após o encerramento, pelo período necessário a obrigações legais, fiscais, contratuais e defesa de direitos;
• documentos e evidências de assinatura: conforme o plano, instruções do Cliente, finalidade probatória e necessidade de preservação de direitos;
• dados de suporte e marketing: enquanto necessários à finalidade, observadas oposição, revogação do consentimento ou perda do fundamento jurídico;
• backups: podem permanecer por período técnico adicional até sua rotação ou sobrescrita, com acesso restrito.

Quando a retenção deixar de ser necessária e não houver fundamento para conservação, os dados poderão ser eliminados, anonimizados ou bloqueados, conforme a natureza do tratamento e os limites técnicos aplicáveis.

A exclusão de conta não implica, necessariamente, eliminação imediata de documentos e evidências vinculados a transações concluídas. A conservação poderá ser necessária para cumprir obrigações legais, atender instruções do Cliente controlador, resguardar a validade e a rastreabilidade de assinaturas ou permitir o exercício regular de direitos em processos judiciais, administrativos ou arbitrais. Nesses casos, o acesso permanecerá limitado às finalidades que justificaram a retenção.

12. Seus direitos e tratamentos automatizados

Nos termos da LGPD, o titular pode solicitar, conforme aplicável: confirmação de tratamento; acesso; correção; anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados irregularmente; portabilidade; eliminação de dados tratados com consentimento, ressalvadas as hipóteses legais de conservação; informação sobre compartilhamentos; informação sobre a possibilidade de não consentir; revogação do consentimento; oposição a tratamento irregular; e revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses.

As solicitações podem ser enviadas para privacidade@aceitou.com.br. Para prevenir fraudes, poderemos solicitar informações razoáveis para confirmar identidade e legitimidade. Quando a Zyran atuar como operadora e não puder decidir sobre o pedido, a solicitação poderá ser encaminhada ao Cliente controlador. O exercício dos direitos é gratuito, observados os prazos e condições legais e regulatórios.

Alguns direitos não são absolutos e poderão sofrer limitações previstas em lei, especialmente quando a manutenção dos dados for necessária ao cumprimento de obrigação legal, à proteção contra fraude, à preservação de evidências ou ao exercício regular de direitos. Sempre que um pedido não puder ser integralmente atendido, a Aceitou buscará informar o motivo de forma compatível com a legislação e com a proteção de segredos comercial e industrial.

A plataforma pode utilizar rotinas automatizadas para autenticação, detecção de comportamento anômalo, prevenção a fraude e proteção do ambiente. Isso não significa, por si só, que a Aceitou tome decisões sobre o conteúdo jurídico ou econômico dos documentos. Quando houver decisão exclusivamente automatizada que afete interesses do titular, serão observados os direitos previstos na LGPD.

13. Crianças, dados de terceiros e integrações

A Aceitou não é direcionada prioritariamente a crianças. Ainda assim, documentos enviados por Clientes podem envolver dados de crianças ou adolescentes. Nesses casos, o tratamento deve observar o melhor interesse e as demais exigências legais. O Cliente controlador é responsável por avaliar a legitimidade do tratamento e, quando necessário, a representação ou autorização adequada.

O Cliente que insere dados de terceiros deve possuir fundamento jurídico para fazê-lo, limitar a coleta ao necessário e fornecer informações de transparência quando cabível. A plataforma não deve ser utilizada para finalidades ilícitas, discriminatórias ou incompatíveis com o serviço.

O Cliente também é responsável por configurar permissões de usuários internos, manter dados de signatários atualizados e evitar a inclusão de informações desnecessárias nos documentos. A Aceitou poderá suspender ou restringir funcionalidades quando identificar uso que viole a lei, os Termos de Uso, direitos de terceiros ou a segurança do serviço, observados os procedimentos contratuais aplicáveis.

A Aceitou pode integrar-se a sistemas externos por API, webhook, login federado ou conectores. O Cliente é responsável por escolher e configurar integrações autorizadas em sua conta. Após a transmissão a um terceiro por solicitação do Cliente, o tratamento realizado por esse terceiro poderá seguir suas próprias regras de privacidade.

14. Atualizações e canal de privacidade

Esta Política poderá ser atualizada para refletir mudanças legais, regulatórias, técnicas, operacionais ou de produto. A versão vigente indicará a data da última atualização. Alterações materiais poderão ser comunicadas pela plataforma, por e-mail ou por outro canal adequado.

Dúvidas, solicitações ou reclamações sobre privacidade podem ser enviadas para privacidade@aceitou.com.br. A Zyran buscará responder de forma clara, segura e dentro dos prazos aplicáveis.

Empresa responsável: ZYRAN DIGITAL LTDA. • CNPJ 67.656.393/0001-67 • Avenida Presidente Antônio Carlos, nº 681, Loja 12, Bairro Lagoinha, Belo Horizonte/MG, CEP 31.210-010.

Referências normativas principais: Lei nº 13.709/2018 (LGPD), Lei nº 12.965/2014 (Marco Civil da Internet), MP nº 2.200-2/2001, Lei nº 14.063/2020 e regulamentação aplicável da ANPD.