Política de Privacidade

1. Escopo

Esta Política de Privacidade descreve como a OG Sistemas, CNPJ 38.015.642/0001-37, trata dados pessoais relacionados ao uso da plataforma Insurance OS.

Para os dados cadastrais da Conta de Usuário (e-mail, nome, senha, papel global) e os dados cadastrais da Organização (razão social, CNPJ quando informado, endereço, configurações), a OG Sistemas atua como controladora.

Para os dados de clientes, segurados, apólices, sinistros, endossos, leads, documentos, mensagens de suporte e demais informações operacionais inseridas na Plataforma pelos membros de uma Organização, a OG Sistemas atua predominantemente como operadora, processando essas informações a pedido e em benefício da Organização contratante.

2. Dados que coletamos

Podemos tratar as seguintes categorias de dados:

• dados de cadastro da conta, como nome, e-mail, senha criptografada e perfil;
• dados cadastrais da Organização, como razão social, nome fantasia, endereço, preferências e, quando informado pelo OWNER, CNPJ;
• dados de membros da Organização, incluindo nome, e-mail, papel atribuído, status e histórico de convites, aceites, mudanças de papel e saídas;
• dados operacionais da corretora, como clientes, segurados, seguradoras, apólices, sinistros, endossos, parcelas e comissões;
• extratos OFX/QFX, identificadores de conta bancária, descrições, valores, datas e metadados de conciliação associados à rotina financeira da Organização;
• documentos enviados para importação inteligente, como PDFs de apólices;
• mensagens, anexos e metadados de tickets enviados pela central de suporte;
• dados de leads captados por formulários públicos criados pela Organização (nome, e-mail, telefone e mensagem), acompanhados do registro de consentimento do titular — data e hora, endereço IP e versão do texto aceito — coletado no envio do formulário como prova do aceite (base legal: consentimento, art. 7º, I, da LGPD);
• identificadores de cobrança, assinatura e pagamento processados pelo Stripe;
• logs técnicos, sessões autenticadas, preferências de notificação, eventos de uso e registros de auditoria das ações da Organização (incluindo endereço IP e user-agent do autor da ação).

3. Para que usamos os dados

• criar, autenticar e manter a Conta de Usuário e a Organização;
• armazenar e organizar a operação da corretora dentro da Plataforma;
• gerenciar a equipe da Organização (envio de convites por e-mail, aceite, mudanças de papel, remoções e saídas) e manter a trilha de auditoria;
• importar extratos financeiros, sugerir conciliações e organizar a rotina de baixa e conferência de recebimentos;
• gerar notificações internas e e-mails relacionados a vencimentos, atividades e resumo diário (digest) por (usuário, organização);
• operar a central de suporte — incluindo o assistente de IA, que responde automaticamente com base na base de conhecimento, e o atendimento humano quando o chamado é escalado — e processar as solicitações feitas pelos membros;
• realizar importação inteligente de documentos com apoio de provedores de IA;
• registrar e comprovar o consentimento do titular que envia um formulário público de captação, armazenando a data e hora, o endereço IP e a versão do texto aceito;
• processar assinaturas, cobranças recorrentes, assentos adicionais e compras avulsas de créditos;
• prevenir fraude, abuso, acessos indevidos e incidentes de segurança.

4. Compartilhamento com operadores e parceiros

Compartilhamos dados apenas quando necessário para prestar o serviço, cumprir obrigações legais ou proteger a Plataforma. Isso pode incluir:

• Stripe, para cobrança recorrente, pagamentos, gestão de assinatura e cobrança proporcional de assentos adicionais;
• OpenAI, como provedor de IA, para leitura inteligente de documentos (OCR e extração de apólices e endossos) e para o assistente de IA da central de suporte, mediante acordo de tratamento de dados (DPA);
• provedores de e-mail transacional, para mensagens operacionais, convites de organização e avisos;
• serviços de hospedagem, banco de dados, observabilidade e segurança.

Não vendemos dados pessoais. Nossos operadores recebem apenas o mínimo necessário para executar suas funções contratuais.

5. Importação com IA, OFX, suporte e comunicações

Quando o Assinante utiliza os recursos de IA — leitura inteligente de documentos (OCR e extração de apólices e endossos) e o assistente de IA da central de suporte — o conteúdo necessário é enviado para a OpenAI, nosso provedor de IA, exclusivamente para executar a tarefa solicitada (extrair dados e preencher registros ou gerar a resposta do suporte com base na base de conhecimento da Plataforma). Esse conteúdo pode incluir dados pessoais presentes nos documentos e nas conversas, como nome, CPF/CNPJ e informações de apólices.

Esse tratamento ocorre sob um acordo de tratamento de dados (DPA) com a OpenAI, que não utiliza os dados enviados via API para treinar seus modelos. Como a OpenAI está sediada nos Estados Unidos, há transferência internacional de dados, realizada com as salvaguardas contratuais aplicáveis. Nas importações, o resultado gerado pela IA é apresentado para conferência antes de ser gravado. No suporte, o assistente de IA responde diretamente ao Assinante e, quando a resposta automática não resolve, o Assinante pode escalar o atendimento para um atendente humano por meio de chamado.

Quando o Assinante importa um extrato OFX/QFX, tratamos os dados do arquivo para identificar contas, registrar lançamentos, detectar duplicidades e apresentar sugestões de conciliação com recebimentos registrados na Plataforma. A Insurance OS não acessa a conta bancária do Assinante além do conteúdo do arquivo enviado e não executa movimentações financeiras em nome do Usuário.

Chamados enviados pela central de suporte podem ser acessados por nossa equipe para diagnóstico, resposta e melhoria do atendimento. Também podemos enviar e-mails sobre o andamento do ticket, convites de organização, notificações de aceite — inclusive quando o e-mail do aceitante difere do convidado originalmente — e resumos diários de notificações por (usuário, organização) quando essa preferência estiver habilitada.

O Assinante permanece responsável por verificar a base legal para tratamento de dados de terceiros inseridos na Plataforma e por revisar informações importadas ou conciliadas antes de adotá-las em seus processos internos.

6. Retenção e exclusão

Mantemos os dados pelo tempo necessário para prestar o serviço, cumprir obrigações contratuais e legais e permitir a recuperação do histórico operacional da conta.

Após o cancelamento, o Assinante pode solicitar a exportação dos dados por até 30 (trinta) dias. Depois desse prazo, os dados podem ser definitivamente excluídos, exceto quando precisarmos mantê-los por obrigação legal, regulatória ou para defesa de direitos.

7. Cookies e autenticação

Utilizamos cookies e mecanismos equivalentes estritamente necessários para autenticação, segurança da sessão, proteção contra requisições indevidas e funcionamento básico da aplicação. Os principais são:

• auth_token: cookie HttpOnly, com validade de até 7 dias, usado para manter a sessão autenticada;
• active_org_id: cookie HttpOnly, com validade de até 30 dias, usado para lembrar qual Organização está ativa quando o Usuário participa de mais de uma;
• cookies de proteção contra falsificação de requisição (CSRF) usados em operações de escrita.

Não usamos cookies de publicidade comportamental na área autenticada.

8. Direitos do titular

Nos termos da LGPD, você pode solicitar confirmação de tratamento, acesso, correção, anonimização, portabilidade, eliminação, informações sobre compartilhamento e revisão de decisões automatizadas, quando aplicável.

Quando a solicitação envolver dados de terceiros inseridos pelos membros na Plataforma (clientes, segurados, leads), poderemos orientar que o pedido seja tratado em conjunto com a Organização, na condição de controladora desses dados. Cada membro convidado permanece titular dos seus próprios dados cadastrais e pode exercer seus direitos diretamente conosco.

9. Segurança da informação

Adotamos controles técnicos e organizacionais compatíveis com a natureza da Plataforma, incluindo autenticação por sessão, segregação de dados por conta, trilhas operacionais e restrição de acesso interno conforme necessidade de atuação.