Política de Privacidade

Última atualização: 13 de outubro de 2026.

1. Dados que coletamos

Coletamos nome, e-mail, telefone, CPF (quando necessário para contrato/fatura), dados de navegação (IP, User-Agent, cookies de sessão) e os dados inseridos voluntariamente nos módulos (tarefas, finanças, anotações, contatos, etc.).

Registros de uso: registramos os acessos aos módulos e endpoints da plataforma (módulo e tela acessados, data/hora, método e IP), bem como a data do último login. Esses registros são visíveis ao administrador da plataforma em métricas agregadas (ranking e última atividade por usuário) e em um registro de atividade recente, e podem ser consultados por você via exportação de dados.

CPF criptografado: Seu CPF é armazenado de forma criptografada (AES-256-CBC) e não é acessível em texto plano. Para buscas internas, utilizamos um hash HMAC-SHA256 com chave do CPF que não permite reconstituir o número original.

Registros de visita do site público: quando você acessa as páginas públicas do site, registramos a página acessada, a data/hora, o host de origem (referrer), o User-Agent e um identificador pseudônimo derivado do IP via HMAC com rotação diária — o IP não é gravado na tabela de visitas; ele é usado apenas em memória para gerar o identificador e permanece somente em log transitório de rate-limiting (retenção de até 1 mês, já descrita nesta política). Quando o visitante está autenticado no Cortex, a visita é associada à conta. O registro de visitas respeita os sinais Do Not Track/Global Privacy Control do navegador.

2. Finalidade e base legal

Os dados são utilizados para prestação dos serviços contratados (execução de contrato — Art. 7º, V da LGPD), segurança, prevenção de fraudes (legítimo interesse — Art. 7º, IX) e, quando aplicável, com consentimento explícito (Art. 7º, I e Art. 11).

Os registros de uso descritos na seção 1 são tratados sob legítimo interesse (Art. 7º, IX) para gestão da conta, melhoria do serviço, suporte, reengajamento de usuários inativos e oferta de upgrades de plano. Você pode se opor a esse tratamento pelo canal do encarregado (seção 7).

Os registros de visita do site público descritos na seção 1 são tratados sob legítimo interesse (Art. 7º, IX) para medição de audiência — saber se o portfólio está recebendo visitas e quais páginas são mais acessadas. Você pode se opor a esse tratamento pelo canal do encarregado (seção 7).

3. Dados sensíveis

Dados de saúde registrados no módulo Bem-Estar são dados sensíveis (Art. 11 da LGPD) coletados somente mediante consentimento específico, destacável do consentimento geral. Você pode revogar esse consentimento a qualquer momento pelo painel, com opção de eliminar os registros associados.

Dados financeiros e CPF não são dados sensíveis no sentido legal, mas recebem guarda reforçada (criptografia em repouso para o CPF) e são tratados sob execução de contrato.

4. Retenção e eliminação

Mantemos os dados enquanto a conta estiver ativa. As políticas de retenção são:

  • Contatos e leads: 12 meses após a última interação
  • Mensagens administrativas: 12 meses
  • Bug reports: 6 meses
  • Registros de visita do site público: 6 meses
  • Logs de webhook: 3 meses
  • Assinantes de newsletter: 24 meses (podem se descadastrar a qualquer momento)
  • Dados de bem-estar/saúde: 36 meses
  • Logs de acesso e segurança: 6 meses
  • Histórico de consentimento (prova legal): até 5 anos
  • Rate limiting: 1 mês

Ao excluir a conta, todos os dados pessoais são anonimizados e a conta é marcada como excluída (direito ao esquecimento — Art. 18 da LGPD). A auto-exclusão está disponível diretamente no painel do usuário.

5. Direitos do titular

Você tem direito a acessar, corrigir, excluir, anonimizar, portar seus dados e revogar consentimento. Solicitações podem ser feitas pelo painel (auto-exclusão disponível) ou pelo e-mail do DPO.

6. Cookies

Usamos cookies essenciais de sessão (autenticação e segurança — dispensados de consentimento pela LGPD). Serviços de terceiros carregados nas páginas podem definir cookies próprios — em particular a verificação anti-bot hCaptcha e o player de vídeo do YouTube incorporado ao painel de foco (ver seção 9). Não utilizamos cookies de publicidade nem ferramentas de analytics de terceiros — a contagem de visitas do site é first-party, feita no servidor, sem cookies de tracking.

7. Encarregado de dados (DPO)

Para dúvidas ou exercício de direitos, entre em contato pelo e-mail cortexmenteconectada@gmail.com. Respondemos às solicitações em até 15 dias, conforme o Art. 19 da LGPD.

8. Dados de terceiros (Cortex como operador)

Nos módulos Workspace, Documentos e Contatos, você pode inserir dados pessoais dos seus próprios clientes e contatos. Para esses dados, você é o controlador e o Cortex atua como operador (Art. 5º, VI e VII, e Arts. 42 a 44 da LGPD):

  • Processamos esses dados exclusivamente para a prestação do serviço contratado e conforme suas instruções;
  • Não os utilizamos para finalidade própria e não os compartilhamos, exceto com os suboperadores da seção 9 e por exigência legal;
  • Você é responsável pela base legal do tratamento, por informar os titulares e por atender às solicitações de direitos deles;
  • Ao excluir sua conta, os dados de terceiros inseridos por você também são eliminados ou anonimizados.

9. Terceiros, suboperadores e transferência internacional

Alguns serviços terceiros que utilizamos podem processar dados, inclusive fora do Brasil:

  • Google OAuth: autenticação via Google (EUA/Irlanda) — processa apenas nome, e-mail e foto de perfil
  • hCaptcha: verificação anti-bot (EUA) — processa IP e token de verificação
  • Mercado Pago: processamento de pagamentos (Brasil) — processa dados de transação
  • Resend: envio de e-mails transacionais e de notificações internas (EUA) — processa e-mail do destinatário e o conteúdo da mensagem enviada
  • Gmail (Google): caixa de e-mail do controlador (EUA) — recebe notificações internas que podem conter nome e e-mail informados por você em formulários de contato
  • Servidor de e-mail do provedor de hospedagem (SMTP/mail()): envio de notificações internas — processa o e-mail do destinatário
  • Google Fonts: carregamento de fontes tipográficas (EUA) — processa IP no carregamento das páginas
  • YouTube (Google): vídeos incorporados de som ambiente no painel de foco (EUA) — processa IP e dados de reprodução ao usar o player
  • WhatsApp / wa.me (Meta): links de compartilhamento acionados por você ou gerados pelo administrador (ex.: link de pagamento) — ao abrir, o número do destinatário e o texto da mensagem são transmitidos à Meta/WhatsApp
  • jsDelivr CDN (jsPDF): carregamento da biblioteca de geração de PDF na página de documentos (EUA/global) — processa IP no carregamento da página
  • BrasilAPI: consulta pública de CNPJ e CEP feita pelo seu navegador em páginas de cadastro (Brasil) — processa o CNPJ/CEP consultado e seu IP no momento da consulta

Todas as transferências seguem padrões de segurança adequados e são realizadas com base no consentimento ou execução de contrato.

10. Medidas de segurança

Implementamos as seguintes medidas técnicas: criptografia de CPF em repouso (AES-256-CBC), rate limiting por IP, proteção CSRF, headers de segurança (CSP, HSTS, X-Frame-Options), validação de entrada, sanitização de output, senhas com hash bcrypt, e logs de auditoria para acessos a dados sensíveis.