Política de privacidade

1. Quem é responsável e a quem esta política se aplica

A plataforma é operada pela Unicórnio Digital (a agência), controladora dos dados tratados aqui. Esta política vale para três públicos: a equipe da agência, que usa a área logada (usuários); as pessoas indicadas pelos clientes para aprovar materiais, que recebem um link individual (aprovadores); e quem aparece nos materiais enviados para aprovação.

2. Quais dados são tratados

Apenas o necessário para a plataforma funcionar:

• Conta do usuário: nome, e-mail, telefone e foto (opcionais), papel na agência, senha (guardada só como resumo criptográfico) e, se ativada, a verificação em duas etapas.
• Aprovadores: nome, e-mail e telefone (opcional) cadastrados pela agência a pedido do cliente, e as respostas dadas no link (aprovação, pedido de ajuste, comentário e data).
• Materiais para aprovação: textos, imagens, vídeos, PDFs e links do Google Drive enviados pela agência, com o histórico de versões. Podem conter imagem ou dados de pessoas, conforme o trabalho do cliente.
• Registros técnicos do link de aprovação: data e resultado de cada abertura (aberto, senha errada, link expirado, revogado ou inexistente) e um código derivado do endereço de internet que muda todo dia e não permite identificar a pessoa. Serve para limitar tentativas e detectar abuso.
• Histórico de trabalho: quem cadastrou, alterou, enviou ou aprovou cada peça e quando, usado na linha do tempo e no dashboard.

3. Para que os dados são usados e com que base legal

• Produzir e aprovar as peças contratadas pelo cliente: cadastro de clientes e aprovadores, envio de materiais, registro das respostas (execução de contrato, art. 7º, V).
• Avisar por e-mail sobre materiais para aprovação e respostas recebidas, e enviar convites e recuperação de acesso à equipe (execução de contrato). Não há e-mail de marketing.
• Manter a plataforma segura: autenticação, verificação em duas etapas, senha opcional no link, limite de tentativas e registros de acesso (legítimo interesse, art. 7º, IX).
• Cumprir obrigações legais e atender autoridades quando exigido (art. 7º, II).

4. Com quem os dados são compartilhados

Os dados não são vendidos nem usados para publicidade. São compartilhados apenas com fornecedores que operam a plataforma, sob contrato e só para as finalidades acima:

• Supabase: banco de dados, autenticação e armazenamento dos arquivos, com servidores em São Paulo (Brasil).
• Vercel: hospedagem da aplicação, com infraestrutura nos Estados Unidos.
• Resend: envio dos e-mails transacionais descritos na seção 3, com infraestrutura nos Estados Unidos.
• Google: quando a agência usa um link do Google Drive numa peça, o arquivo é exibido pelo próprio Google, sob os termos dele.

5. Transferência internacional

A hospedagem (Vercel) e o envio de e-mails (Resend) envolvem servidores fora do Brasil. Essas transferências se apoiam nas garantias contratuais previstas no art. 33 da LGPD.

6. Por quanto tempo os dados são guardados

• Registros técnicos de abertura do link de aprovação: 12 meses, apagados automaticamente todos os dias.
• Clientes, aprovadores, jobs, peças, versões, respostas e histórico: enquanto forem necessários à relação com o cliente. Ao excluir um job ou cliente, os registros ligados a ele são apagados em cascata.
• Arquivos enviados: os de peças existentes não são apagados automaticamente, para preservar a versão aprovada; os que deixam de ser usados (peça excluída ou envio não concluído) são apagados após 7 dias. Os demais são removidos a pedido ou quando a agência decidir.
• Contas da equipe: enquanto a pessoa fizer parte da agência. O acesso pode ser desativado a qualquer momento.
• Links de aprovação: valem 7 dias e podem ser revogados antes; o cookie de senha do link dura 12 horas.
• Cópias de segurança: cifradas e guardadas de forma restrita pela agência, para recuperação em caso de incidente.

7. Como os dados são protegidos

Toda comunicação é cifrada (HTTPS). O banco só entrega dados a membros ativos da agência, com regras aplicadas no próprio banco (row level security), e as gravações passam por validação no servidor. Cada aprovador tem um link próprio, que só revela o conteúdo publicado para ele, sem contatos de outras pessoas. Senhas são guardadas como resumo criptográfico, a verificação em duas etapas é exigida inclusive no banco para quem a ativa, e as tentativas no link são limitadas.

Nenhum sistema é infalível. Se houver incidente com risco relevante aos titulares, a agência comunicará os afetados e a Autoridade Nacional de Proteção de Dados nos prazos legais.

8. Seus direitos

Você pode pedir, a qualquer momento: confirmação de que seus dados são tratados, acesso, correção, anonimização ou exclusão, portabilidade, informação sobre compartilhamento e revogação de consentimento quando ele for a base do tratamento (art. 18 da LGPD).

Escreva para contato@quara.app. A resposta é enviada em até 15 dias. Se você é aprovador, também pode falar com o cliente que indicou seu contato.

9. Cookies

São usados apenas cookies necessários ao funcionamento (sessão da equipe e acesso ao link com senha) e uma preferência de tema guardada no navegador. Não há cookies de publicidade nem de análise de audiência. Detalhes na Política de cookies.

10. Mudanças nesta política

Quando esta política mudar de forma relevante, a data ao fim desta página é atualizada. A versão vigente é sempre a publicada aqui.

11. Encarregado e contato

Controladora: Unicórnio Digital. Canal do encarregado pelo tratamento de dados pessoais e para todos os pedidos desta política: contato@quara.app.