Política de Privacidade

Esta Política descreve como o Carcaraz(“Carcaraz”, “nós”), sistema de gestão de transportes (TMS), trata dados pessoais, em conformidade com a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados, LGPD). Ela vale para o site carcaraz.com.br, para o portal Ponto de Apoio e para o sistema em app.carcaraz.com.br.

O uso do serviço também está sujeito aos nossos Termos de Serviço.

1. O essencial, em cinco linhas

• O site e o portal não usam cookie nenhum e não têm rastreador de terceiros.
• No sistema, os únicos cookies são os que mantêm você autenticado.
• Somos controlador dos dados de quem contrata e usa o Carcaraz.
• Somos operador dos dados que a transportadora cadastra sobre motoristas, clientes e contatos: quem decide ali é ela.
• Não vendemos dados e não usamos publicidade comportamental.

2. Quando somos controlador e quando somos operador

A LGPD separa dois papéis: controlador é quem decide sobre o tratamento (art. 5º, VI) e operador é quem trata em nome do controlador (art. 5º, VII). O Carcaraz ocupa os dois, em situações diferentes, e isso muda quem responde pelo quê.

• Somos controlador do cadastro de quem cria conta e assina o serviço: dados de conta, autenticação, faturamento, uso do sistema e suporte. Aqui as decisões são nossas, e você fala diretamente conosco.
• Somos operador dos dados que a sua transportadora insere sobre outras pessoas: motoristas, condutores, clientes e contatos. Quem define a finalidade é ela, que é a controladora desses dados. Nós tratamos apenas para fazer o sistema funcionar, seguindo as instruções dela, e não usamos esses dados para finalidade própria.

Se você é motorista ou contato cadastrado por uma transportadora e quer exercer direitos sobre os seus dados, o caminho é falar com ela. Se nos procurar, encaminhamos o pedido e apoiamos no atendimento, mas quem decide é a controladora.

3. Dados que tratamos

De quem usa o Carcaraz, na condição de controlador:

• Cadastro: nome, e-mail, telefone, CPF e, quando aplicável, dados da empresa (CNPJ, razão social, nome fantasia).
• Autenticação: credenciais de acesso e, se você usar login com o Google, o e-mail e o nome básicos fornecidos por essa conta.
• Faturamento: plano, histórico de cobranças e créditos da carteira.
• Técnicos e de uso: registros de acesso, endereço IP, tipo de dispositivo e navegador, e métricas de desempenho das telas.

Dados inseridos pela transportadora sobre outras pessoas, na condição de operador:

• Motoristas: nome, CPF, e-mail, telefone, número, categoria e validade da CNH, foto e documentos anexados.
• Clientes e contatos: nome ou razão social, CPF ou CNPJ, e-mail, telefone e endereços.
• Operação: veículos, conjuntos, contratos, trechos, fretes e documentos do veículo.
• Viagem: CPF do condutor no manifesto e coordenadas dos municípios de carga e descarga.
• Financeiro: lançamentos, conciliações, fechamentos, comissões, salários e reembolsos.
• Fiscal: documentos eletrônicos emitidos e recebidos, e o certificado digital da empresa, usado apenas para assinar e transmitir esses documentos.

De quem visita o site e o portal Ponto de Apoio:

• Não há conta, cookie, armazenamento local nem rastreador de terceiros.
• A contagem de leituras das matérias é um total por matéria e por dia. Não guarda IP, identificador nem qualquer dado que permita distinguir um leitor do outro.
• Registros de acesso do servidor, gerados pela hospedagem para segurança e diagnóstico.

4. Para que usamos

• Prestar, manter e melhorar o serviço, incluindo autenticação e segurança da conta.
• Processar assinaturas, créditos e cobranças.
• Consultar dados públicos de CNPJ, CEP e municípios, e localizar endereços, para facilitar o cadastro.
• Montar e transmitir documentos fiscais eletrônicos às secretarias de fazenda, em nome da sua empresa.
• Enviar comunicações operacionais: notificações do sistema, avisos de cobrança e suporte.
• Cumprir obrigações legais e regulatórias e prevenir fraudes e abusos.

5. Bases legais

• Execução de contrato (art. 7º, V) para prestar o serviço que você contratou.
• Cumprimento de obrigação legal ou regulatória (art. 7º, II), inclusive na emissão e guarda de documentos fiscais.
• Legítimo interesse (art. 7º, IX) para segurança, prevenção a fraudes, medição de desempenho e melhoria do produto, sempre com dados agregados e sem formação de perfis.
• Consentimento (art. 7º, I) apenas quando aplicável, como em comunicações opcionais. Onde há consentimento, ele pode ser revogado a qualquer momento, pelo mesmo canal em que foi dado.

Nos dados em que atuamos como operador, a base legal é definida pela transportadora que os inseriu.

6. Cookies e armazenamento local

No site e no portal: nenhum. Não gravamos cookie, não usamos armazenamento local e não carregamos script de terceiro. Por isso não há banner de consentimento: não existe escolha a fazer.

No sistema: usamos apenas cookies estritamente necessários, os que mantêm a sua sessão autenticada e permitem navegar entre as telas sem refazer o login. Sem eles o sistema não funciona, então eles não dependem de consentimento; a base é o legítimo interesse, conforme orientação da Agência Nacional de Proteção de Dados. Você pode bloqueá-los no navegador, mas aí não conseguirá entrar.

Não usamos cookies de publicidade, remarketing, perfil comportamental ou rastreamento entre sites. Se um dia isso mudar, você verá um aviso com opção real de recusa antes de qualquer script desse tipo ser carregado.

7. Com quem compartilhamos

Não vendemos seus dados. Compartilhamos apenas com quem é necessário para o serviço funcionar, na medida do necessário:

• Supabase — banco de dados, autenticação, armazenamento de arquivos e envio dos e-mails de acesso.
• Vercel — hospedagem do site, do portal, do sistema e da API.
• Google — quando você opta pelo login com Google.
• Secretarias de fazenda estaduais e ambientes nacionais de documentos fiscais — para emitir, consultar e encerrar CT-e, MDF-e, NF-e e NFS-e.
• ReceitaWS — consulta de dados públicos de CNPJ no cadastro de empresas.
• ViaCEP e IBGE — consulta de CEP, municípios e unidades da federação.
• Nominatim / OpenStreetMap — conversão de endereço em coordenadas para calcular rotas e distâncias.
• Autoridades — quando exigido por lei ou ordem judicial.

O portal Ponto de Apoio também lê dados públicos do Banco Central, da ANP, da ANTT e da Conab. Essas consultas são de números públicos e não envolvem dado pessoal de ninguém.

8. Transferência internacional

Alguns desses provedores processam dados em servidores fora do Brasil. Nesses casos, a transferência se apoia nas hipóteses do art. 33 da LGPD e nas garantias exigidas pelo regulamento de transferência internacional da Agência Nacional de Proteção de Dados.

Você pode pedir, pelo canal da seção 13, a íntegra das cláusulas usadas para amparar essas transferências, resguardados segredo comercial e industrial.

9. Segurança

• Criptografia em trânsito (HTTPS) em todas as telas e chamadas.
• Isolamento por transportadora no banco de dados, com regras de acesso aplicadas no próprio banco e não apenas na aplicação.
• Permissões por perfil, de modo que cada pessoa veja apenas o que o papel dela exige.
• Credenciais privilegiadas restritas ao servidor, nunca expostas no navegador.
• Arquivos sensíveis, como certificados digitais e documentos de motorista, em armazenamento de acesso restrito.

Nenhum sistema é infalível, mas tratamos redução de risco como trabalho contínuo, não como projeto encerrado.

10. Incidentes de segurança

Se ocorrer incidente que possa acarretar risco ou dano relevante, comunicamos a Agência Nacional de Proteção de Dados e os titulares afetados nos prazos do regulamento aplicável, com a descrição do que houve, os dados envolvidos e as medidas tomadas. Quando o incidente atingir dados em que atuamos como operador, comunicamos sem demora a transportadora controladora, para que ela cumpra os deveres dela.

11. Retenção

• Dados de conta e operação: enquanto a conta estiver ativa.
• Documentos fiscais e registros contábeis: pelo prazo que a legislação fiscal exige, ainda que a conta seja encerrada.
• Registros de acesso e segurança: pelo prazo necessário à finalidade de segurança e ao cumprimento da lei.
• Registros de incidentes: pelo prazo mínimo exigido pelo regulamento da Agência Nacional de Proteção de Dados.

Encerrada a conta e vencidos esses prazos, os dados são eliminados ou anonimizados. O certificado digital pode ser removido por você a qualquer momento, e a remoção é imediata.

12. Seus direitos

Nos termos do art. 18 da LGPD, você pode solicitar a qualquer momento:

• Confirmação da existência de tratamento e acesso aos seus dados;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
• Portabilidade e informação sobre compartilhamentos;
• Revogação do consentimento, quando esta for a base legal;
• Oposição ao tratamento fundado em legítimo interesse.

Para os dados em que somos operador, o pedido deve ser dirigido à transportadora que cadastrou o dado. Se ele chegar a nós, encaminhamos a ela e informamos você.

13. Canal de privacidade

Pedidos, dúvidas e reclamações sobre proteção de dados: privacidade@carcaraz.com.br. Esse é o canal de comunicação com os titulares previsto na LGPD, e por ele respondemos também às comunicações da Agência Nacional de Proteção de Dados.

14. Menores de idade

O Carcaraz é destinado a empresas e profissionais. Não coletamos intencionalmente dados de menores de 18 anos.

15. Alterações desta Política

Podemos atualizar esta Política periodicamente. Mudanças relevantes serão comunicadas pelos canais do serviço. A data de “última atualização” no topo indica a versão vigente.