Política de Privacidade, Proteção de Dados Pessoais (LGPD) e Cookies

1. Compromisso com a Privacidade, Escopo e Marco Normativo (LGPD)

1.1. Princípios Norteadores: O tratamento de dados pessoais no Orçalei rege-se pelos princípios da finalidade, adequação, necessidade (minimização de dados), livre acesso, transparência, segurança, prevenção e responsabilização (art. 6º da Lei nº 13.709/2018 — LGPD). Coletamos exclusivamente as informações indispensáveis para autenticar o usuário, isolar o ambiente do seu escritório, processar pagamentos de assinatura e gerar os planos de trabalho e orçamentos de emendas parlamentares.

1.2. Abrangência: Esta Política aplica-se a todos os visitantes das páginas públicas do Orçalei (incluindo guias por órgão, simulador de fechamento e glossário), bem como aos usuários cadastrados, administradores e membros de escritórios que utilizam a aplicação web.

2. Distinção de Papéis na LGPD: Controlador vs. Operador de Dados das OSCs

Nos termos do art. 5º, incisos VI e VII, da LGPD, a qualificação jurídica do Orçalei varia conforme a natureza do dado tratado:

• Orçalei como Controlador de Dados: Em relação aos dados cadastrais da conta dos usuários (nome, e-mail, senha criptografada, telefone opcional, foto de perfil), dados de gestão de membros e convites do Escritório, registros de cobrança/assinatura e eventos de segurança e auditoria de acesso da própria plataforma, o Orçalei atua como Controlador, cabendo-lhe as decisões referentes ao tratamento.
• Orçalei como Operador de Dados (Projetos e Arquivos Importados): Em relação aos dados pessoais eventualmente inseridos pelo Usuário dentro dos Planos de Trabalho ou contidos nos arquivos Word (.docx) e PDF enviados para importação — tais como nome e cargo do representante legal da OSC no fecho de assinatura, currículos resumidos de fichas técnicas ou dados de contato de fornecedores —, o Escritório usuário ou a Organização da Sociedade Civil (OSC) proponente atua como Controlador, enquanto o Orçalei atua estritamente como Operador (art. 39 da LGPD), realizando o armazenamento isolado e a geração documental segundo as instruções exclusivas do Usuário.

2.1. Responsabilidade do Escritório como Controlador: Ao inserir dados de terceiros (dirigentes de OSCs, coordenadores, artistas, instrutores ou representantes de fornecedores) em um plano de trabalho, o Escritório declara possuir base legal legítima para fazê-lo (como a execução de procedimentos preliminares a instrumento de parceria MROSC ou convênio público).

3. Categorias de Dados Pessoais e Técnicos Coletados

• 3.1. Dados de Conta e Autenticação: nome completo, endereço de e-mail, hash de senha (armazenado com algoritmo unidirecional bcrypt), estado de verificação do e-mail, preferências de notificação, imagem de perfil opcional e, caso o usuário autentique via provedor OAuth (Google ou Microsoft), o identificador da conta vinculada.
• 3.2. Dados de Segurança Multifator (MFA/TOTP): quando habilitada a autenticação em duas etapas pelo usuário, armazenamos a chave secreta TOTP e os códigos de recuperação de forma criptografada no banco de dados.
• 3.3. Dados do Escritório e Faturamento: nome do escritório, identificador URL (slug), e-mails de convites de membros, papéis de acesso (Admin/Membro), histórico de planos, valores e status de cobranças geradas na plataforma (identificador da cobrança, código Pix copia-e-cola, datas de pagamento e vigência). Não coletamos nem armazenamos número completo de cartão de crédito ou código CVV.
• 3.4. Dados dos Planos de Trabalho e Importações: arquivos Word (.docx) e PDF submetidos pelo usuário, textos das 18 seções do projeto, dados institucionais da OSC proponente (razão social, CNPJ, endereço, telefone, e-mail, site e logotipo), nome e cargo do signatário no fecho do documento, metas, itens orçamentários e cotações de fornecedores (razão social, CNPJ e valor unitário).
• 3.5. Registros de Conexão e Telemetria Agregada: endereço IP, data e hora de acesso (com fuso horário) para cumprimento do art. 15 do Marco Civil da Internet e controle de limite de requisições (rate-limiting), além de métricas operacionais estritamente agregadas (como quantidade de itens vinculados ou tempo de leitura de arquivo), sem envio de textos de seções, nomes ou e-mails para ferramentas de analytics.

4. Quadro de Finalidades e Bases Legais de Tratamento (Art. 7º da LGPD)

Toda operação de tratamento de dados pessoais realizada pelo Orçalei fundamenta-se em uma hipótese legal específica prevista na Lei nº 13.709/2018:

5. Suboperadores de Dados, Provedores de IA (Sem Treino) e Transferência Internacional

5.1. Vedação Absoluta à Comercialização de Dados: O Orçalei nunca vende, aluga ou compartilha listas de usuários, planos de trabalho, orçamentos ou cotações de fornecedores com corretores de dados, anunciantes ou outros escritórios concorrentes.

5.2. Quadro de Suboperadores Homologados: Para operar sua infraestrutura com alta disponibilidade e segurança, o Orçalei recorre aos seguintes suboperadores técnicos, submetidos a deveres contratuais de proteção de dados e confidencialidade:

5.3. Transferência Internacional de Dados (Art. 33 da LGPD): Alguns serviços de infraestrutura em nuvem, mensageria transacional e processamento de IA podem operar servidores localizados no exterior (como nos Estados Unidos ou União Europeia). Nesses casos, o Orçalei assegura que a transferência ocorre em conformidade com o art. 33 da LGPD, mediante adoção de criptografia ponta a ponta em trânsito, cláusulas-padrão contratuais de proteção de dados e seleção exclusiva de provedores com certificações internacionais de segurança (ISO/IEC 27001 e SOC 2 Type II).

6. Segurança da Informação, Criptografia e Isolamento Multi-Tenant

Em cumprimento ao art. 46 da LGPD, o Orçalei implementa medidas técnicas e administrativas rigorosas para proteger os dados pessoais e o sigilo estratégico dos projetos de captação contra acessos não autorizados, destruição, perda ou alteração:

• Isolamento Multi-Tenant Estrito por Escritório: Todas as tabelas de projetos, seções textuais, metas, itens de orçamento, cotações, arquivos de importação e histórico de cobrança possuem chave estrangeira obrigatória vinculada ao identificador único da organização (organization_id). Todas as leituras e mutações no servidor validam a sessão ativa e o vínculo de membro antes de retornar qualquer registro;
• Criptografia de Credenciais e Segredos: Senhas de usuários são submetidas a hashing irreversível com sal (bcrypt), e chaves de autenticação em duas etapas (TOTP) são cifradas com criptografia simétrica antes da persistência no banco de dados;
• Proteção de Transporte e Sessão: Toda comunicação entre o navegador do usuário e os servidores do Orçalei trafega exclusivamente sob protocolo HTTPS (TLS 1.2/1.3), utilizando cookies de sessão com flags HttpOnly, Secure e SameSite=Lax;
• Controle de Acesso Baseado em Papéis (RBAC): Operações sensíveis de gestão do escritório, faturamento e remoção de membros são restritas aos usuários com perfil de Proprietário (Owner) ou Administrador (Admin).

7. Política de Cookies e Tecnologias de Sessão

7.1. Uso Minimalista de Cookies: O Orçalei prioriza cookies estritamente necessários ao funcionamento seguro da autenticação e da navegação entre escritórios, não utilizando cookies de redes de anúncios ou rastreamento publicitário comportamental de terceiros.

7.2. Gerenciamento pelo Navegador: O Usuário pode a qualquer momento limpar ou bloquear cookies nas configurações do seu navegador (Chrome, Safari, Firefox, Edge). Ressaltamos, contudo, que o bloqueio dos cookies estritamente necessários (authjs) impedirá o login na área autenticada da plataforma.

8. Prazos de Retenção, Portabilidade e Exclusão de Dados (Arts. 15 e 16 da LGPD)

• 8.1. Dados de Projetos e Conta Ativa: Os planos de trabalho, orçamentos e dados do Escritório são mantidos enquanto a conta do Usuário permanecer ativa — inclusive durante períodos em que a assinatura paga esteja encerrada, a fim de assegurar ao Escritório a consulta em modo de leitura e a exportação de seus documentos elaborados em janelas anteriores.
• 8.2. Exclusão sob Comando do Usuário ou Administrador: O Usuário pode excluir projetos específicos, remover arquivos de importação ou solicitar a exclusão definitiva da sua conta e do seu Escritório nas configurações do painel. A exclusão de uma organização aciona a remoção em cascata (ON DELETE CASCADE) de todos os seus projetos, seções, orçamentos e arquivos vinculados no banco de dados ativo.
• 8.3. Prazos de Guarda Legal Obrigatória (Art. 16, I, da LGPD): Mesmo após o pedido de exclusão da conta, determinados registros mínimos são conservados exclusivamente para cumprimento de obrigação legal: (a) registros de conexão e acesso à aplicação pelo prazo mínimo de 6 (seis) meses, conforme o art. 15 da Lei nº 12.965/2014 (Marco Civil da Internet); e (b) registros fiscais, contábeis e de liquidação de cobranças pelo prazo de 5 (cinco) anos, nos termos do art. 173 do Código Tributário Nacional e do art. 206, § 5º, do Código Civil.

9. Direitos dos Titulares de Dados Pessoais (Art. 18 da LGPD)

O Orçalei assegura a todo usuário titular de dados pessoais o exercício gratuito e facilitado dos direitos previstos no art. 18 da LGPD, diretamente pelo painel de configurações da conta ou mediante requisição ao nosso Encarregado (DPO):

• Confirmação da existência de tratamento e acesso aos dados (incisos I e II): visualização imediata de todos os dados de perfil, organizações vinculadas e projetos criados;
• Correção de dados incompletos, inexatos ou desatualizados (inciso III): edição direta de nome, e-mail, telefone, credenciais de segurança e dados da OSC;
• Anonimização, bloqueio ou eliminação de dados desnecessários (inciso IV) e eliminação de dados tratados com consentimento (inciso VI): exclusão de projetos ou encerramento completo da conta;
• Portabilidade dos dados (inciso V): exportação estruturada e imediata de qualquer plano de trabalho e planilha orçamentária nos formatos abertos e interoperáveis Word (.docx), PDF e Excel (.xlsx);
• Informação sobre compartilhamento (inciso VII) e revogação do consentimento (inciso IX): desativação instantânea de comunicações opcionais em Configurações → Notificações.

10. Canal do Encarregado pelo Tratamento de Dados (DPO — Art. 41 da LGPD)

10.1. Contato Direto com o Encarregado (DPO): Para exercer qualquer direito previsto no art. 18 da LGPD, esclarecer dúvidas sobre o isolamento de dados do seu Escritório ou apresentar comunicações da Autoridade Nacional de Proteção de Dados (ANPD), entre em contato com a nossa Encarregada/Encarregado de Proteção de Dados:

10.2. Atualizações desta Política: Esta Política de Privacidade poderá ser aprimorada periodicamente para refletir melhorias de segurança ou novas diretrizes regulamentares da ANPD, mantendo-se a data da última revisão sempre visível no topo desta página.