Política de Privacidade

Esta Política de Privacidade (“Política”) descreve como a DRAP, operada por DRAP INTELIGÊNCIA DE MERCADO LTDA (nome fantasia: DRAP SOLUCOES PERSONALIZADAS), CNPJ 64.759.314/0001-55, com sede em Av. Campos Elísios, 1044, Quadra 220, Lote 08, Jardim Novo Mundo, Goiânia/GO, CEP 74.705-020 (“DRAP”, “nós”), trata os dados pessoais dos Usuários da Plataforma, em conformidade com a Lei Geral de Proteção de Dados Pessoais — Lei nº 13.709/2018 (“LGPD”), o Marco Civil da Internet (Lei nº 12.965/2014) e demais normas aplicáveis.

Esta Política integra e deve ser lida em conjunto com os Termos de Uso da Plataforma.

1. Quem é o Controlador

Para os fins da LGPD, o Controlador dos dados pessoais coletados pela Plataforma é:

• Razão social: DRAP INTELIGÊNCIA DE MERCADO LTDA (nome fantasia: DRAP SOLUCOES PERSONALIZADAS)
• CNPJ: 64.759.314/0001-55
• Endereço: Av. Campos Elísios, 1044, Quadra 220, Lote 08, Jardim Novo Mundo, Goiânia/GO, CEP 74.705-020
• E-mail de contato: suporte@drap.app.br

Quanto aos dados de terceiros que o Usuário insere na Plataforma (p. ex.: nomes de clientes, fornecedores, sócios, contrapartes em lançamentos financeiros), o Tenant é o Controlador e a DRAP atua como Operador nos termos do art. 5º, VII, da LGPD, processando os dados conforme instruções do Usuário e exclusivamente para a finalidade de operar a Plataforma. Cabe ao Tenant assegurar que possui base legal adequada para coletar e inserir tais dados na Plataforma.

2. Encarregado de Dados (DPO)

Em cumprimento ao art. 41 da LGPD, designamos como Encarregado pelo Tratamento de Dados Pessoais:

• Nome: Marcelo Carvalho Furtado Junior
• E-mail: DPO@drap.app.br

O Encarregado é o canal de comunicação entre o Controlador, os titulares de dados e a Autoridade Nacional de Proteção de Dados (ANPD).

3. Dados que Coletamos

A Plataforma coleta apenas os dados estritamente necessários para operação. Categorizamos os dados em:

3.1. Dados de cadastro

• Nome da pessoa responsável pelo cadastro;
• Nome ou razão social da granja (Tenant);
• CPF ou CNPJ do titular da conta, informado no momento do cadastro. Usamos para identificar a conta de forma unívoca, impedir a abertura de contas paralelas destinadas a renovar indevidamente o período de teste e viabilizar a cobrança;
• E-mail;
• Senha (armazenada de forma criptografada — hash);
• Função do usuário no Tenant (admin, membro, visualizador);
• Permissões granulares de acesso configuradas pelo administrador do Tenant.

3.2. Dados financeiros e de operação

• Lançamentos financeiros: data, descrição, valor, categoria, contraparte (cliente/fornecedor), centro de custo, responsável, status de pagamento, observações;
• Registros de produção da granja: coletas (data, galpão, lote, quantidade de ovos, peso total da coleta, consumo de ração, bandejas/caixas), lotes e plantel (aves alojadas, datas de alojamento e de encerramento, mortalidade), estoque de ovos e insumos e registros de sanidade (vacinas, medicações);
• Documentos fiscais emitidos pela Plataforma, quando o módulo está ativo: dados do destinatário informados pelo Usuário (nome ou razão social, CPF/CNPJ, inscrição estadual, endereço, e-mail), itens, valores e tributos, além do número, chave e situação da nota;
• Configurações da empresa: lista de responsáveis, centros de custo, categorias contábeis, tema visual, integrações;
• Logs de auditoria: histórico de alterações em lançamentos (quem, quando, o que mudou) — armazenados pelo período legal de guarda fiscal aplicável.

Importante. A DRAP não coleta dados bancários completos (número de conta, senha bancária). A importação OFX, quando utilizada, processa arquivos previamente baixados pelo Usuário do site do banco, sem acesso direto à conta.

3.3. Dados de pagamento

Pagamentos são processados exclusivamente pelo intermediador Asaas Gestão Financeira S.A., instituição de pagamento autorizada pelo Banco Central do Brasil. A DRAP recebe apenas informações limitadas: identificador opaco do cliente no Asaas (ID), CPF/CNPJ de cobrança, status da assinatura, plano contratado, datas de cobrança e eventos de pagamento (sucesso/falha). Dados completos de cartão de crédito não são armazenados em nossos sistemas — o tratamento desses dados é regido pela Política de Privacidade do Asaas.

3.4. Dados de uso e técnicos

• Endereço IP de acesso;
• Tipo de navegador e sistema operacional (User-Agent);
• Logs de requisição (data/hora, rota acessada, código de retorno);
• Cookies essenciais (autenticação) e, se aplicável, cookies de análise — descritos na seção 11.

3.5. Dados de integrações e módulos opcionais

Quando o Usuário ativa integrações ou módulos, dados adicionais são processados:

• Google Sheets: tokens OAuth para acesso à planilha autorizada, ID da planilha, conteúdo sincronizado. O usuário pode revogar a permissão a qualquer momento na conta Google;
• Importação OFX: conteúdo do arquivo OFX carregado pelo Usuário (transações bancárias);
• Asaas (assinatura): conforme item 3.3;
• Emissão de nota fiscal (NF-e / NFS-e): os dados do emitente e do destinatário descritos no item 3.2 são transmitidos ao provedor de emissão contratado (Focus NFe) e, por meio dele, à SEFAZ ou à prefeitura competente — transmissão inerente à obrigação fiscal que o próprio Usuário está cumprindo;
• Cobranças (boleto, PIX, cartão): quando o Usuário conecta a própria conta Asaas, nome, CPF/CNPJ e e-mail do cliente cobrado são enviados ao Asaas para gerar a cobrança. Nesse fluxo o Usuário é o Controlador dos dados do seu cliente;
• Assistente de inteligência artificial: quando o Usuário aciona uma função de IA (sugestão de categoria ou natureza contábil, leitura de nota, planilha ou extrato), o conteúdo necessário àquela operação é enviado ao provedor de modelos contratado (atualmente Anthropic) para processamento e devolução da sugestão. Conforme os termos comerciais do provedor, esse conteúdo não é utilizado para treinar modelos. As sugestões são apenas propostas: nada é gravado sem confirmação humana, de modo que não há decisão automatizada com efeitos jurídicos sobre o titular (art. 20 da LGPD);
• WhatsApp: quando o Usuário opta por receber avisos por WhatsApp, o número informado e o conteúdo da mensagem transitam pela API da Meta.

3.6. Dados de origem e prevenção de abuso

No momento do cadastro registramos, vinculados à conta criada:

• Sinais de segurança: endereço IP, User-Agent e e-mail em forma normalizada. Servem para identificar cadastros em massa e tentativas de renovar o período de teste com contas paralelas — base legal: legítimo interesse (art. 7º, IX);
• Origem da visita: parâmetros de campanha (utm_source, utm_medium, utm_campaign, utm_content, utm_term) e identificadores de anúncio (gclid do Google, fbclid da Meta), quando presentes no link de acesso. Só são capturados após o consentimento de cookies; recusando, nada é registrado.

4. Finalidades do Tratamento

Os dados pessoais são tratados para as seguintes finalidades:

1. Execução do contrato: autenticar o Usuário, operar a Plataforma, prestar o serviço contratado, processar pagamentos, atender solicitações de suporte;
2. Cumprimento de obrigação legal: emissão de documentos fiscais, atendimento a determinações de autoridades competentes, guarda de logs pelo prazo legal (Marco Civil da Internet);
3. Legítimo interesse: prevenção de fraude, proteção da Plataforma contra abusos, melhoria contínua do produto, análises estatísticas anonimizadas;
4. Consentimento (quando aplicável): envio de comunicações de marketing, ativação de cookies não essenciais, funcionalidades opcionais;
5. Proteção do crédito: análise de inadimplência e suspensão proporcional do acesso conforme Termos de Uso.

5. Bases Legais

Cada operação de tratamento é fundamentada em uma base legal da LGPD (art. 7º), conforme tabela abaixo:

• Execução de contrato (art. 7º, V): cadastro, autenticação, prestação do serviço, processamento de pagamentos;
• Cumprimento de obrigação legal (art. 7º, II): guarda de registros, atendimento a ordens judiciais e fiscais;
• Legítimo interesse (art. 7º, IX): prevenção de fraude, segurança da informação, melhoria do produto, comunicação operacional;
• Consentimento (art. 7º, I): cookies não essenciais, comunicações de marketing.

Para dados de terceiros inseridos pelo Usuário (clientes, fornecedores, sócios), cabe ao Tenant garantir a base legal adequada para a coleta e tratamento, nos termos do art. 6º, IV (transparência) e do art. 8º da LGPD.

6. Compartilhamento e Subprocessadores

A DRAP compartilha dados pessoais apenas com fornecedores essenciais à operação da Plataforma, mediante contrato de proteção de dados (DPA) e garantias adequadas:

Sempre em uso (essenciais à operação):

• Supabase (banco de dados, autenticação, armazenamento) — provedor de infraestrutura;
• Vercel (hospedagem da aplicação web, edge network) — provedor de infraestrutura;
• Asaas Gestão Financeira S.A. (processamento de pagamentos e gestão de assinaturas) — controlador independente para fins de prevenção de fraude e cumprimento regulatório;
• Cloudflare (verificação anti-robô no cadastro) — recebe o endereço IP e o token do desafio;
• Sentry (monitoramento de erros da aplicação) — recebe registros técnicos de falhas. Aplicamos filtros para remover credenciais e documentos (CPF/CNPJ) antes do envio;
• Google LLC — três papéis distintos: (a) envio dos e-mails transacionais via Google Workspace (SMTP), o que significa que recebe destinatário, assunto e conteúdo das mensagens que enviamos a você; (b) comunicação corporativa; (c) Google Sheets, quando você ativa a integração. Operador parcial sob nossas instruções, controlador para serviços próprios;

Conforme o módulo ativado por você (se o módulo não é usado, não há envio):

• Focus NFe (emissão de NF-e e NFS-e) — recebe os dados do emitente e do destinatário e os transmite à SEFAZ ou à prefeitura competente;
• Anthropic (modelos de inteligência artificial) — recebe o conteúdo enviado às funções de IA. Conforme os termos comerciais do provedor, esse conteúdo não é usado para treinar modelos;
• Meta Platforms — medição de campanhas (Pixel e API de Conversões, apenas com consentimento de cookies) e envio de avisos por WhatsApp, quando você opta por recebê-los.

Esta lista pode ser atualizada à medida que adicionamos ou substituímos fornecedores. A versão vigente desta Política indica os subprocessadores em uso.

A DRAP não vende, aluga, comercializa ou compartilha dados pessoais com terceiros para fins de marketing.

Excepcionalmente, a DRAP poderá compartilhar dados:

• Em cumprimento de ordem judicial, requisição da ANPD ou de autoridade competente, nos limites legais;
• Em caso de fusão, aquisição ou reorganização societária, sendo os Usuários previamente comunicados;
• Para defesa de direitos da DRAP em processos judiciais ou administrativos.

7. Transferência Internacional

Alguns dos nossos fornecedores (notadamente Vercel, Supabase, Google, Cloudflare, Sentry, Anthropic e Meta) processam dados em servidores localizados fora do Brasil, em países que podem ter regimes jurídicos distintos do brasileiro. O Asaas e o Focus NFe operam em território nacional.

Tais transferências internacionais ocorrem com fundamento no art. 33 da LGPD, observando ao menos uma das seguintes garantias: (i) cláusulas contratuais padrão; (ii) certificação do destinatário em programa reconhecido de proteção de dados; (iii) execução do contrato com o titular; ou (iv) consentimento específico do titular, quando exigido.

8. Retenção de Dados

Os dados pessoais são retidos enquanto:

• Houver relação contratual ativa entre o Usuário e a DRAP;
• For necessário cumprir obrigação legal ou regulatória (ex.: prazo prescricional civil de 5 anos, prazo decadencial fiscal, Marco Civil exige guarda de logs por 6 meses);
• For necessário para exercício regular de direitos em eventual processo judicial ou administrativo.

Após o encerramento da conta e o decurso dos prazos legais aplicáveis, os dados pessoais são eliminados ou anonimizados, de forma irreversível, no curso ordinário de operação.

O Usuário pode solicitar a eliminação antecipada nos termos do art. 18, VI, da LGPD, ressalvadas as hipóteses legais que exigem a retenção (art. 16 da LGPD).

9. Seus Direitos como Titular

Conforme o art. 18 da LGPD, você, como titular de dados pessoais, tem os seguintes direitos:

• Confirmação da existência de tratamento;
• Acesso aos dados que possuímos sobre você;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
• Portabilidade dos dados a outro fornecedor de serviço, em formato estruturado e interoperável;
• Eliminação dos dados pessoais tratados com base no consentimento;
• Informação sobre entidades públicas e privadas com as quais compartilhamos seus dados;
• Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;
• Revogação do consentimento, a qualquer tempo;
• Revisão de decisões tomadas unicamente com base em tratamento automatizado de dados que afetem seus interesses.

Esses direitos podem sofrer limitações decorrentes de obrigações legais ou de exercício regular de direitos da DRAP.

10. Como Exercer seus Direitos

Para exercer qualquer dos direitos da seção 9, você pode:

1. Acessar configurações da sua conta na Plataforma e utilizar funcionalidades disponibilizadas (alteração de cadastro, exportação de dados, encerramento de conta);
2. Enviar e-mail ao Encarregado: DPO@drap.app.br informando claramente sua solicitação e dados que permitam sua identificação como titular.

Responderemos em até 15 (quinze) dias, podendo o prazo ser prorrogado nos termos da legislação. Em caso de impossibilidade técnica ou jurídica de atender ao pedido, forneceremos resposta fundamentada.

Para garantir a segurança das informações, podemos solicitar documentos ou informações adicionais para confirmar sua identidade antes de atender ao pedido.

11. Cookies e Tecnologias Similares

A Plataforma utiliza cookies e tecnologias similares para funcionamento, segurança e melhoria da experiência:

• Cookies essenciais (estritamente necessários): autenticação, manutenção de sessão, preferências de tema. Não exigem consentimento prévio (art. 7º, V, LGPD);
• Cookies funcionais: lembrar configurações de UI;
• Cookies de análise e marketing (opcionais): Google Analytics 4 (métricas agregadas de uso) e Meta Pixel (medição de campanhas), carregados somente após o consentimento no banner. Recusando, os scripts não são carregados e nenhuma requisição é feita ao Google ou à Meta. Quando há consentimento, eventos de conversão também podem ser enviados a partir do nosso servidor (API de Conversões da Meta e Measurement Protocol do GA4).

Contagem agregada de páginas (sem cookie e sem consentimento). Independentemente da sua escolha no banner, a Plataforma mantém um contador próprio das páginas públicas do site institucional. Ele armazena exclusivamente data + caminho da página + categoria de origem e um número inteiro — por exemplo, “23/08/2026, /precos, busca orgânica, 14”. A categoria de origem é um entre sete rótulos fixos (anúncio, assistente de IA, busca, rede social, outro site, direto, navegação interna), calculado no nosso servidor e gravado no lugar do endereço de onde você veio. Não são armazenados endereço IP, identificador de sessão, cookie, fingerprint, user-agent, o endereço da página de origem nem os parâmetros de campanha. Não há como associar uma linha desse contador a uma pessoa, isoladamente ou em cruzamento com nossas demais bases, de modo que não há tratamento de dado pessoal e a discussão de base legal não se aplica. O endereço IP e o user-agent de quem acessa são lidos de forma transitória na requisição, apenas para limitar abuso do endpoint e descartar robôs, e não são gravados. Páginas internas da área logada não entram nessa contagem.

Último acesso da sua conta. Para a área logada, registramos o dia em que alguém da sua conta abriu a Plataforma pela última vez — apenas a data, sem horário e sem identificar qual usuário. Esse registro serve para sabermos se a conta está em uso e para oferecermos suporte a quem parou de acessar, e tem como base legal a execução do contrato (art. 7º, V, da LGPD). Ele fica no cadastro da sua conta e é excluído junto com ela.

Na primeira visita, um banner permite escolher entre “Aceitar todos” e “Só essenciais”. Você pode alterar sua escolha a qualquer momento pelo link “Cookies” no rodapé do site, além de gerenciar cookies pelas configurações do seu navegador. A desativação de cookies essenciais pode comprometer o funcionamento da Plataforma.

12. Segurança da Informação

Adotamos medidas técnicas e organizacionais razoáveis e adequadas para proteger os dados pessoais contra acesso não autorizado, perda, alteração, divulgação ou destruição indevida, incluindo:

• Criptografia em trânsito (HTTPS/TLS) e em repouso para dados sensíveis;
• Controle de acesso baseado em papéis (RBAC) e isolamento multi-tenant via Row Level Security no banco de dados;
• Senhas armazenadas exclusivamente em forma de hash criptográfico irreversível;
• Logs de auditoria de operações sensíveis;
• Avaliação periódica de fornecedores e subprocessadores.

Apesar disso, nenhum sistema é 100% imune a falhas. Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos a ANPD e os titulares afetados, nos termos do art. 48 da LGPD.

O Usuário é igualmente responsável pela segurança de suas credenciais e por informar imediatamente a DRAP em caso de suspeita de comprometimento (art. 50, §2º, II, b, LGPD).

13. Crianças e Adolescentes

A Plataforma não é destinada a pessoas com idade inferior a 18 (dezoito) anos. Não coletamos intencionalmente dados pessoais de crianças e adolescentes. Caso tomemos conhecimento de que dados de menores foram coletados sem o consentimento adequado dos responsáveis legais (art. 14 da LGPD), procederemos à sua eliminação imediata.

14. Alterações nesta Política

Esta Política pode ser atualizada periodicamente para refletir mudanças legais, regulatórias, operacionais ou na Plataforma. A versão vigente está sempre publicada nesta página, com indicação da data da última revisão no topo.

Alterações materiais (ampliação significativa de finalidades, novos compartilhamentos, redução de direitos) serão comunicadas com antecedência razoável por e-mail ou por notificação na Plataforma.

15. Contato e ANPD

Para dúvidas, solicitações, reclamações ou exercício de direitos relacionados a dados pessoais, contate o Encarregado:

• E-mail (DPO): DPO@drap.app.br
• E-mail (geral): suporte@drap.app.br
• Endereço postal: Av. Campos Elísios, 1044, Quadra 220, Lote 08, Jardim Novo Mundo, Goiânia/GO, CEP 74.705-020

Caso entenda que seus direitos não foram adequadamente atendidos, você pode apresentar reclamação à Autoridade Nacional de Proteção de Dados — ANPD:

• Site: www.gov.br/anpd
• E-mail institucional da ANPD para canais de denúncia, conforme indicação no site oficial.

Última revisão desta Política: 01/08/2026. Este documento é eletrônico, dispensando assinatura física, e produz efeitos a partir de sua publicação.