Política de Privacidade — AutonoFácil
Versão 2.4 — Última atualização: 21/09/2026
1. Controlador, Operador e Encarregado (DPO)
Controlador: A empresa proprietária da conta AutonoFácil (doravante "Titular da Conta") é a controladora dos dados pessoais por ela inseridos, nos termos do Art. 5º, VI da LGPD.
Operador: O AutonoFácil atua como operador (Art. 5º, VII), tratando os dados conforme instruções do controlador. O AutonoFácil é operado por Carlos Alberto Pereira Amaral, inscrito como Microempreendedor Individual (MEI). Dados completos de identificação fiscal (CNPJ) estão disponíveis mediante solicitação ao Encarregado.
Encarregado (DPO): Carlos Amaral — privacidade@autonofacil.com.br — Respondemos solicitações em até 5 dias úteis (Art. 41 §1º).
2. Dados Coletados e Bases Legais
| Dado | Finalidade | Base Legal (LGPD) |
|---|---|---|
| Nome, CPF/CNPJ, e-mail | Identificação do titular da conta e emissão de documentos fiscais | Art. 7º, V — execução de contrato; Art. 7º, II — obrigação legal |
| Telefone, celular, endereço | Contato comercial e execução dos serviços | Art. 7º, V — execução de contrato |
| Dados bancários (chave PIX, agência, conta) | Recebimento de pagamentos | Art. 7º, V — execução de contrato |
| Dados de clientes cadastrados (nome, CPF, endereço, telefone) | Execução de serviços do titular da conta | Art. 7º, V — execução de contrato; legítimo interesse do controlador |
| Logo, fotos de serviços, assinatura digital | Personalização de documentos e registro de serviços | Art. 7º, V — execução de contrato |
| IP, user-agent, data/hora de acesso | Segurança, auditoria e prevenção a fraudes | Art. 7º, VI — legítimo interesse (segurança) |
Sobre fotos e imagens de serviços: As fotos enviadas pelo Titular da Conta são de sua responsabilidade exclusiva, inclusive aquelas relativas aos serviços executados. Ao enviar fotos, o Titular declara possuir autorização para fotografar e divulgar as imagens. O AutonoFácil poderá remover essas imagens quando for acionado por terceiros, por autoridade competente ou por determinação legal, e não se responsabiliza pelo conteúdo das fotos enviadas.
3. Subprocessadores
O AutonoFácil utiliza os seguintes subprocessadores para viabilizar o serviço:
- HostGator (hospedagem e e-mail transacional via cPanel Mail) — armazenamento de dados em servidores nos EUA; envio de e-mails
- WhatsApp / api.whatsapp.com (envio de mensagens) — comunicação com clientes
- Asaas (processamento de pagamentos) — apenas quando contratado como gateway — não armazenamos dados de cartão de crédito
- ViaCEP (consulta de endereço por CEP) — sem armazenamento de dados
- Google (Login Social) (autenticação via conta Google) — opcional; recebemos apenas identificador e dados básicos do perfil autorizado
- QR Server (goqr.me) (geração de QR Code PIX) — sem armazenamento de dados
- Google Tag Manager / Google Analytics 4 (métricas de uso e funil de conversão) — só carrega mediante consentimento no banner de cookies (ver seção 8)
Cada subprocessador possui sua própria política de privacidade e adequação à LGPD. Contratos e cláusulas de proteção de dados estão disponíveis mediante solicitação ao DPO.
4. Prazo de Retenção
| Categoria | Prazo | Justificativa |
|---|---|---|
| Dados cadastrais (controlador) | Até 5 anos após encerramento da conta | Obrigação legal (Art. 173 CC / legislação fiscal) |
| Documentos fiscais (recibos, notas) | 5 anos (Art. 173 Código Civil) | Obrigação legal |
| Logs de acesso/consentimento | 6 meses (Art. 11 Marco Civil da Internet) | Obrigação legal / auditoria |
| Dados de clientes do controlador | Enquanto a conta estiver ativa + 30 dias | Interesse legítimo do controlador |
| Dados de pagamento e assinatura (Asaas) | Enquanto a assinatura estiver ativa + prazo exigido pelo gateway | Execução de contrato / obrigação legal |
| Logs de envio (e-mail/WhatsApp) | 90 dias | Suporte e auditoria |
Após o prazo de retenção, os dados são anonimizados ou excluídos de forma segura (Art. 15 LGPD).
Cancelamento de assinatura: o cancelamento pode ser feito a qualquer momento, sem multa ou fidelidade, na tela de Planos (botão "Cancelar assinatura"), ou ocorre automaticamente após 15 dias de atraso no pagamento (ver Termos de Uso, item 4.6). Em qualquer um dos dois casos, o usuário volta ao plano Essencial (grátis) com todos os seus dados preservados — nada é excluído. Se a quantidade de clientes ou materiais/serviços cadastrados ultrapassar o limite do plano Essencial, os registros excedentes continuam visíveis, mas ficam bloqueados para edição/exclusão até o usuário se enquadrar no limite ou reativar um plano pago. A exclusão definitiva de dados só ocorre por pedido explícito do titular (ver seção 6). Os dados de pagamento mantidos pelo Asaas seguem os prazos de retenção do subprocessador.
5. Compartilhamento
Dados não são compartilhados com terceiros não listados na seção 3, exceto quando necessário para o funcionamento do serviço ou por exigência legal. O AutonoFácil não vende dados pessoais (Art. 5º, X).
Transferências internacionais limitam-se a: (a) servidores da HostGator nos EUA (Cláusulas Contratuais Padrão); (b) serviços listados na seção 3.
6. Direitos do Titular (Art. 18 LGPD)
O titular pode:
- Confirmar a existência de tratamento (Art. 18, I)
- Acessar os dados (Art. 18, II)
- Corrigir dados incompletos, inexatos ou desatualizados (Art. 18, III)
- Exportar dados (Art. 18, IV) — botão 📥 na tela de cliente
- Anonimizar, bloquear ou eliminar dados desnecessários (Art. 18, IV)
- Revogar o consentimento (Art. 8º, §5º) — botão em Configurações → Privacidade
- Excluir dados pessoais (Art. 18, VI) — botão em Configurações → Privacidade
Solicitações via privacidade@autonofacil.com.br — respondemos em até 5 dias úteis.
7. Segurança (Art. 46)
Adotamos as seguintes medidas:
- Criptografia AES-256-GCM para CPF/CNPJ em repouso
- Hash SHA-256 para busca de CPF (cpf_hash)
- Todas as senhas com bcrypt (PASSWORD_DEFAULT)
- Tokens CSRF em todos os formulários POST
- Cabeçalhos de segurança: CSP, X-Frame-Options: DENY, HSTS
- Controle de acesso por perfil (proprietário vs técnico)
- Rate limiting de login por IP+e-mail
- Logs de auditoria de consentimento com IP e user-agent
8. Cookies e Métricas de Uso
Cookies essenciais: utilizamos o cookie de sessão PHP para o funcionamento da plataforma (login, CSRF). É configurado com flags HttpOnly, SameSite=Lax e Secure (quando em HTTPS). Não pode ser desativado sem impedir o uso do sistema.
Métricas de uso (Google Tag Manager / Google Analytics 4): usamos essas ferramentas para entender o funil de conversão (quantas pessoas visitam, se cadastram, ativam a conta e assinam um plano) — nunca para publicidade ou venda de dados a terceiros. Coletamos página visitada, cliques em botões-chave e marcos de uso (ex: 1º cliente cadastrado, 1º orçamento, assinatura ativada), sempre vinculados à conta/empresa, nunca a dados sensíveis. O Google (subprocessador, EUA, Cláusulas Contratuais Padrão) processa esses dados conforme sua própria política de privacidade.
Consentimento: exibimos um banner com as opções "Entendi" e "Recusar" na página inicial e nas telas de login/cadastro. O Google Tag Manager só carrega no navegador se você clicar "Entendi"; se recusar ou não decidir, nenhum cookie de métrica é criado. A escolha é registrada localmente no seu navegador (localStorage) e vale para o site inteiro, inclusive a área logada.
Retenção: dados de métricas de uso ficam retidos por até 14 meses no Google Analytics (padrão da ferramenta), depois são automaticamente excluídos.
9. Atualizações desta Política
Esta política pode ser atualizada periodicamente. A versão atual está indicada no topo. Alterações relevantes serão comunicadas por e-mail aos titulares de conta.