Esta política explica quais dados pessoais o Aprumo trata, para quê, com quem compartilha, por quanto tempo guarda e como você exerce os seus direitos. O Aprumo é um sistema de gestão de obras oferecido pela MARCELO FELISAKI LTDA., CNPJ 57.073.569/0001-02 (“nós”) a construtoras e empresas de engenharia (“empresas clientes”).
1. Quem decide sobre cada dado
A Lei Geral de Proteção de Dados (LGPD) separa quem decide sobre o tratamento (controlador) de quem trata em nome de outro (operador). No Aprumo há duas situações:
- Dados da conta — nome, e-mail, senha e registros de acesso de quem usa o sistema, e os dados cadastrais da empresa cliente. Aqui nós somos o controlador.
- Dados que a empresa cliente lança no sistema — obras, clientes, fornecedores, empreiteiros, funcionários, medições, diários, fotos, documentos, notas fiscais, extratos, e-mails da caixa de entrada conectada. Aqui a empresa cliente é o controlador e nós somos o operador: tratamos esses dados só para prestar o serviço e seguindo as instruções da empresa. Pedidos sobre esses dados devem ir primeiro à empresa que os lançou; nós ajudamos a empresa a atendê-los.
2. Quais dados tratamos
- Cadastro da empresa: razão social, CNPJ, cidade, UF, nome, e-mail e telefone de quem criou a conta, data do aceite destes termos e o endereço IP de onde a conta foi criada.
- Usuários: nome, e-mail, nome de usuário, senha (guardada só como resumo criptográfico, nunca em texto), perfil de acesso, foto de perfil opcional e data do último acesso.
- Registros de acesso e de atividade: quem fez o quê e quando (por exemplo, quem gravou ou apagou um registro), tentativas de entrada com o endereço IP, e as versões anteriores dos registros alterados.
- Conteúdo lançado pela empresa cliente: tudo o que a empresa cadastra — que pode incluir nome, CPF/CNPJ, telefone e endereço de clientes, fornecedores, empreiteiros e funcionários, fotos de obra, documentos, notas fiscais obtidas na SEFAZ, extratos bancários importados e mensagens da caixa de e-mail que a empresa conectar.
- Credenciais de integrações: senha do e-mail da empresa e certificado digital A1 com a senha dele, quando a empresa configura esses recursos. Ficam guardados cifrados e são usados só para a função configurada.
- Uso da inteligência artificial: data, função usada, quantidade de texto processado e custo estimado de cada uso.
- Avisos no celular: o endereço de entrega das notificações do aparelho que aceitou recebê-las.
Não pedimos nem tratamos de propósito dados pessoais sensíveis (saúde, religião, biometria etc.). Se a empresa cliente os lançar, é responsável por ter base legal para isso.
3. Para que usamos e com que base legal
- Prestar o serviço contratado (entrar no sistema, gravar e mostrar os dados, gerar documentos, enviar convites e avisos) — execução de contrato (art. 7º, V, da LGPD).
- Segurança e prevenção de fraude (bloquear tentativas repetidas de senha, evitar cadastros automáticos, apurar incidentes) — legítimo interesse (art. 7º, IX).
- Guardar registros de acesso pelo prazo exigido pelo Marco Civil da Internet (Lei 12.965/2014, art. 15) — cumprimento de obrigação legal (art. 7º, II).
- Falar com a empresa cliente sobre a conta, o período de teste, cobrança e mudanças no serviço — execução de contrato e legítimo interesse.
Não vendemos dados, não usamos o conteúdo das empresas para publicidade e não o usamos para treinar modelos de inteligência artificial.
4. Com quem compartilhamos
Só com quem é necessário para o serviço funcionar:
- Hospedagem: Hostinger, onde ficam o sistema, o banco de dados e os arquivos.
- Cobrança: Asaas, que emite as faturas e processa boleto, Pix e cartão. Recebe o nome da empresa, o CNPJ (ou CPF do responsável), o e-mail e o telefone de quem assina. Os dados do cartão são digitados na página do Asaas e não passam pelo Aprumo.
- Inteligência artificial: Anthropic (Estados Unidos), apenas quando alguém usa uma função de IA (pergunta livre, leitura de edital, diário, legendas de foto, crítica do orçamento). Vai só o necessário para responder àquele pedido. A empresa pode desligar a IA nos Ajustes.
- Ditado por voz: quando alguém usa o microfone do diário, o reconhecimento de voz é feito pelo próprio navegador, que pode enviar o áudio ao serviço de voz do fabricante (Google, Apple ou Microsoft).
- Avisos no celular: os serviços de notificação do navegador (Google, Apple, Mozilla) recebem a mensagem cifrada para entregá-la ao aparelho.
- E-mail: o servidor de e-mail configurado pela empresa (ou o da plataforma, quando a empresa não configurou o seu) entrega convites, resumos e avisos.
- Órgãos públicos consultados: SEFAZ (notas fiscais emitidas contra o CNPJ da empresa, com o certificado dela), PNCP, Caixa (SINAPI) e IBGE. Destes três últimos o sistema só baixa dados públicos; não envia dados da empresa.
- Fontes do texto: Google Fonts, que recebe o endereço IP do navegador ao carregar as letras das páginas.
- Portal do cliente: quando a empresa gera o link de acompanhamento de uma obra, quem tiver o link vê o avanço, a linha do tempo e as fotos daquela obra (sem valores). A empresa pode desligar o link a qualquer momento.
- Autoridades: quando houver ordem judicial ou obrigação legal.
Alguns desses fornecedores ficam fora do Brasil. Essas transferências internacionais são feitas para executar o contrato com a empresa cliente (art. 33, IX, da LGPD), com fornecedores que adotam cláusulas e práticas de proteção de dados.
5. Cookies e armazenamento no aparelho
- Cookie de sessão — mantém você conectado enquanto usa o sistema. Sem ele não é possível entrar.
- Cookie da empresa do aparelho — guarda só o nome da última empresa que entrou naquele aparelho, para mostrá-lo na tela de entrada.
- Armazenamento local e cache — guardam o que foi digitado sem sinal (para enviar depois), preferências de tela e os arquivos do sistema, para ele abrir rápido e funcionar no canteiro sem internet.
Não usamos cookies de publicidade nem ferramentas de rastreamento de terceiros.
6. Por quanto tempo guardamos
- Os dados da conta e o conteúdo da empresa ficam guardados enquanto a conta estiver ativa.
- Encerrado o contrato ou vencido o período de teste sem contratação, os dados ficam guardados por 90 dias, para que a empresa possa voltar ou pedir uma cópia. Depois disso podem ser excluídos definitivamente.
- Registros de acesso são guardados por pelo menos 6 meses (Marco Civil da Internet), e mais tempo quando necessário para cumprir obrigação legal, exercer direitos ou apurar incidente.
- Cópias de segurança são substituídas em rodízio e somem com o tempo.
7. Segurança
Usamos conexão cifrada (HTTPS), senhas guardadas só como resumo criptográfico, credenciais de integração cifradas, separação dos dados de cada empresa (uma empresa não enxerga os dados de outra), níveis de acesso por perfil, bloqueio de tentativas repetidas de senha, registro de atividades e cópias de segurança. Nenhum sistema é totalmente imune a falhas; se ocorrer um incidente de segurança que possa causar risco ou dano relevante, avisaremos as empresas afetadas e a Autoridade Nacional de Proteção de Dados (ANPD), como manda a lei.
8. Seus direitos
Como titular, você pode pedir: confirmação de que tratamos seus dados; acesso a eles; correção de dados incompletos ou errados; anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desacordo com a lei; portabilidade; informação sobre com quem compartilhamos; e revisão de decisões tomadas só por meios automatizados (art. 18 da LGPD). Também pode reclamar à ANPD.
Para dados lançados por uma empresa cliente (por exemplo, se você é cliente, fornecedor ou funcionário de uma construtora que usa o Aprumo), fale primeiro com essa empresa. Para dados da sua conta de usuário, escreva para privacidade@construtoramf.com. Respondemos em até 15 dias.
9. Encarregado e contato
Dúvidas, pedidos e reclamações sobre privacidade: privacidade@construtoramf.com. Responsável: MARCELO FELISAKI LTDA., CNPJ 57.073.569/0001-02.
10. Mudanças nesta política
Podemos atualizar esta política quando o serviço mudar ou a lei exigir. A data da versão em vigor fica no topo da página. Mudanças relevantes serão avisadas dentro do sistema ou por e-mail antes de valer.