Política de privacidade

1. Quem é responsável

O Ghya é um sistema de gestão para lojas de celular oferecido pela Asuelc Serviços de Tecnologia da Informação Ltda., CNPJ 39.529.058/0001-62, com sede em Uberlândia/MG (“Asuelc”, “nós”).

Esta política explica como tratamos dados pessoais no site ghya.ia.br e no sistema app.ghya.ia.br, de acordo com a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018, a “LGPD”).

O canal para qualquer assunto de privacidade é o e-mail contato@asuelc.com. Como microempresa, a Asuelc está dispensada de indicar um encarregado de dados (Resolução CD/ANPD nº 2/2022) e mantém este canal para receber pedidos, dúvidas e reclamações de titulares.

2. Em que papel tratamos cada dado

A LGPD separa quem decide sobre um dado (controlador) de quem trata o dado em nome de outro (operador). No Ghya, os dois papéis existem:

• Somos controladores dos dados de quem visita o site, de quem cria e usa uma conta no Ghya (proprietário, gerentes, vendedores e técnicos) e da cobrança da assinatura.
• Somos operadores dos dados que a sua loja cadastra sobre outras pessoas: clientes, quem vende um aparelho usado para a loja, quem deixa um aparelho na assistência e quem assina eletronicamente uma compra ou uma ordem de serviço. Nesse caso, quem decide é a loja, e nós tratamos esses dados apenas para o sistema funcionar, conforme as instruções dela. Veja a seção 8.

3. Que dados coletamos

No site ghya.ia.br

• Medição de visitas, sem cookies (Vercel Web Analytics): páginas vistas, de onde a visita veio, tipo de aparelho e país, sempre de forma agregada. Ela não identifica você.
• Registros técnicos da hospedagem: endereço IP, data, hora e página pedida, guardados pela hospedagem por segurança.
• Cookies do Meta, só se você aceitar: veja a seção 7.
• O site não tem formulário. Os botões levam ao sistema, e o contato é pelo e-mail.

Ao criar a conta

• CPF ou CNPJ, nome, e-mail e como você conheceu o Ghya.
• O CPF não fica guardado em texto. Guardamos só um código cifrado dele, que serve para impedir que o mesmo teste grátis seja usado várias vezes. Quando é CNPJ, buscamos o nome da empresa nos dados públicos da Receita Federal.
• A senha você cria depois de confirmar o e-mail. Ela é guardada cifrada, e ninguém da nossa equipe tem acesso a ela.
• O aceite destes documentos: ao marcar a caixa do cadastro, guardamos a data e a hora, o endereço IP e a versão dos Termos de uso e desta Política que você aceitou. É a prova do contrato e fica guardada enquanto a conta existir.
• Para barrar robôs, o cadastro, o login e a recuperação de senha passam por uma verificação da Cloudflare (Turnstile), que recebe o endereço IP do seu aparelho.

Ao usar o sistema

• Dados da loja: razão social, CNPJ, telefone, endereço e responsável.
• Dados da equipe: o proprietário cria o acesso de cada pessoa com nome, e-mail, senha inicial e papel (proprietário, gerente, vendedor ou técnico), e pode definir o percentual de comissão de cada vendedor.
• A operação da loja: vendas, estoque, trocas de usados, ordens de serviço, checklists dos aparelhos, assinaturas eletrônicas, comissões e campanhas.
• Trilha de auditoria: quem fez cada alteração, quando, o que mudou e de qual endereço IP. Dados como CPF e telefone aparecem ocultos nessa trilha. No login, guardamos o tipo de aparelho (computador ou celular), não a identificação completa do navegador.
• Notificações: se você ativar os avisos no celular ou no navegador, guardamos o endereço de entrega desses avisos.

Na cobrança da assinatura

A cobrança é feita pela Asaas, que recebe nome ou razão social, CPF ou CNPJ, e-mail, telefone e endereço. Os dados de cartão, quando você escolhe pagar com cartão, são digitados na página da própria Asaas: nós não vemos nem guardamos o número do cartão.

4. Para que usamos e com qual base legal

• Prestar o serviço contratado: criar e manter a conta, fazer o sistema funcionar, dar suporte e enviar os avisos do serviço (fim do teste, faturas, alertas da loja). Base legal: execução de contrato (art. 7º, V, da LGPD).
• Cobrar a assinatura e as consultas de IMEI, e cumprir obrigações fiscais. Base legal: execução de contrato e cumprimento de obrigação legal (art. 7º, V e II).
• Segurança: barrar fraudes e o uso repetido do teste grátis, registrar acessos e investigar incidentes. Base legal: legítimo interesse (art. 7º, IX) e a guarda de registros de acesso exigida pelo Marco Civil da Internet (Lei nº 12.965/2014, art. 15).
• Melhorar o produto, entendendo de forma agregada como o site e o sistema são usados. Base legal: legítimo interesse (art. 7º, IX).
• Medir e direcionar os anúncios do Ghya no Meta, e avisar o Meta quando você conclui o cadastro, para sabermos que o anúncio funcionou. Só acontece se você aceitar os cookies do Meta na faixa do site. Base legal: consentimento (art. 7º, I), que você pode retirar a qualquer momento pelo link Cookies do rodapé.

Não vendemos dados e não os compartilhamos com anunciantes. A única exceção é a medição dos nossos próprios anúncios pelo Meta, que só acontece com o seu aceite (veja a seção 7).

5. Com quem compartilhamos

Só com os fornecedores necessários para o Ghya funcionar e para medirmos os nossos anúncios, cada um recebendo apenas o que precisa:

Também podemos compartilhar dados quando a lei, uma ordem judicial ou uma autoridade competente exigir, e, numa eventual venda ou reorganização da empresa, com quem assumir o serviço, mantidas as regras desta política.

6. Transferência para fora do Brasil

Os dados do sistema ficam guardados em São Paulo. Alguns dos fornecedores acima, porém, são empresas estrangeiras ou processam dados fora do Brasil. Essas transferências acontecem porque são necessárias para executar o contrato com você (art. 33, IX, da LGPD), e escolhemos fornecedores que assumem compromissos de segurança e de proteção de dados.

O Meta é um caso à parte: ele recebe dados fora do Brasil (empresa dos EUA, com servidores em vários países) só se você aceitar os cookies, e a transferência se apoia no seu consentimento (art. 33, VIII, da LGPD). Se você recusar, nada vai ao Meta.

7. Cookies e anúncios

Sem o seu aceite, o site não usa cookies de anúncio. Na primeira visita aparece uma faixa com os botões “Aceitar” e “Recusar”. Nada do Meta é carregado antes de você aceitar, nem depois de você recusar. A medição de visitas da Vercel funciona sem cookies.

Se você aceitar, o Meta (Facebook e Instagram) passa a usar cookies no seu navegador (como _fbp e _fbc) para:

• medir quantas pessoas vindas dos nossos anúncios visitam o site e clicam em “Testar 7 dias grátis”;
• direcionar os nossos anúncios para pessoas parecidas com quem se interessa pelo Ghya.

Se você aceitar e criar uma conta, o nosso servidor avisa o Meta de que o cadastro foi concluído. Esse aviso leva o seu e-mail e o identificador da sua loja embaralhados (SHA-256, de modo que o Meta não recebe o texto aberto), os cookies do Meta, o endereço IP, o tipo de navegador e a origem do cadastro (de qual anúncio você veio). Nunca enviamos nome, CPF, CNPJ ou telefone. Se você recusar, nada disso é enviado.

Como recusar ou mudar de ideia: clique em “Cookies”, no rodapé de qualquer página do site, e escolha de novo. Ao escolher “Recusar”, apagamos os cookies do Meta (_fbp e _fbc) deste navegador. A sua escolha fica guardada por 180 dias, num cookie nosso (ghya_consentimento), e vale para o site e para as páginas de anúncio do Ghya. Você também pode apagar os cookies pelas configurações do navegador. Conheça a política do Meta em facebook.com/privacy/policy.

O sistema (app.ghya.ia.br) usa só o que é necessário para funcionar:

• cookies de sessão, que mantêm você conectado;
• um cookie temporário, de 1 hora, usado na recuperação de senha;
• preferências guardadas no seu próprio navegador: tema claro ou escuro, menu lateral aberto ou fechado, valores escondidos e se você já respondeu ao convite de notificações.

Dentro do sistema não há cookies de anúncio nem de rastreamento de terceiros.

8. Dados que a sua loja cadastra

Quando a sua loja cadastra dados de outras pessoas no Ghya, a loja é a controladora: cabe a ela ter uma base legal para isso, informar essas pessoas e atender os pedidos delas. Nós tratamos esses dados só para executar o sistema, não os usamos para fins próprios e não entramos em contato com os clientes da loja.

• Clientes: nome, CPF ou CNPJ, telefone, e-mail, data de nascimento, endereço e observações.
• Autorização de marketing: o sistema registra se cada cliente autorizou ou recusou receber ofertas, com a data e a origem, e as campanhas só alcançam quem autorizou. Colher essa autorização de forma válida é responsabilidade da loja.
• Troca de usado: a foto do documento de quem vende o aparelho fica em área privada, acessível só aos usuários da própria loja, por links que expiram em 5 minutos. Ela fica guardada como prova da origem do aparelho.
• Assistência técnica: a senha do aparelho, inclusive o padrão desenhado, é cifrada (AES-256), só proprietário, gerente e técnico conseguem vê-la, e ela é apagada automaticamente quando a ordem de serviço é marcada como entregue. O checklist registra o estado do aparelho na entrada e na saída.
• Assinatura eletrônica: quando a loja pede ao cliente que assine pelo celular uma compra, a entrada de um aparelho na assistência, um orçamento ou a retirada, o Ghya registra o nome e o CPF de quem assinou, a data e a hora, o endereço IP de onde a assinatura foi feita e o documento assinado. Esses dados servem para provar o que foi combinado entre a loja e o cliente. O CPF fica guardado cifrado, e o comprovante e a via assinada mostram só os 2 últimos dígitos. A via assinada não é alterada depois de assinada, fica com a loja e pode ser baixada pelo cliente no mesmo link durante 90 dias. Se houver tentativas erradas, a página pede a verificação da Cloudflare contra robôs, que recebe o endereço IP do aparelho do cliente. Também aqui a loja é a controladora e o Ghya é o operador.

Se um cliente da loja nos procurar para exercer direitos sobre os dados dele, encaminhamos o pedido à loja e ajudamos a atendê-lo.

9. Por quanto tempo guardamos

• Enquanto a conta estiver ativa, guardamos os dados necessários para o serviço.
• Se o teste acabar sem contratação, ou a assinatura terminar, o sistema fica só de leitura e depois é bloqueado. Os dados da loja continuam guardados por 90 dias, para você voltar ou pedir uma cópia. Depois desse prazo, eles podem ser excluídos.
• Exclusão da conta: o proprietário pode excluir a conta pelo próprio sistema, com o plano cancelado, confirmando por um link enviado ao e-mail. A exclusão apaga os dados da loja e o acesso de todos os usuários. Ficam só números agregados, que não identificam ninguém, e o que a lei obriga a guardar. Os arquivos enviados ao sistema, como fotos de documentos, são apagados mediante pedido pelo contato@asuelc.com.
• Assinaturas eletrônicas: ficam guardadas enquanto a loja mantiver a conta, como prova do que foi combinado com o cliente. O link de download do cliente deixa de funcionar depois de 90 dias, e a via continua com a loja. Na exclusão da conta, valem as regras do item anterior.
• Registros de acesso (endereço IP, data e hora): pelo menos 6 meses, como exige o Marco Civil da Internet.
• Dados de cobrança: pelo prazo exigido pela legislação fiscal.
• Cópias de segurança: são diárias, cifradas e guardadas separadamente, e só são usadas para recuperar o serviço em caso de falha. Um dado excluído pode continuar existindo nessas cópias até que elas sejam descartadas.

10. Como protegemos os dados

• Conexão sempre cifrada (HTTPS) e servidores em São Paulo.
• Cada loja só enxerga os próprios dados, por uma regra aplicada no próprio banco de dados.
• Permissões por papel: o vendedor não vê custo, margem, trilha de auditoria, comprovantes de Pix, exportação de clientes nem senhas de aparelhos.
• Senhas de aparelhos e o CPF de quem assina eletronicamente cifrados com uma chave que fica fora do banco de dados, e arquivos em área privada, com links temporários.
• Verificação em duas etapas opcional, por aplicativo autenticador.
• Trilha de auditoria que não pode ser alterada.

Nenhum sistema é infalível. Se acontecer um incidente de segurança que possa trazer risco ou dano relevante, avisamos as pessoas afetadas e a Autoridade Nacional de Proteção de Dados (ANPD), como manda o art. 48 da LGPD.

11. Seus direitos

Pela LGPD (art. 18), você pode pedir:

• confirmação de que tratamos seus dados, e acesso a eles;
• correção de dados incompletos, errados ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desacordo com a lei;
• portabilidade dos seus dados para outro fornecedor;
• eliminação dos dados tratados com base no seu consentimento, e a revogação desse consentimento;
• informação sobre com quem compartilhamos seus dados;
• revisão de decisões tomadas só por meios automatizados.

Para exercer qualquer um deles, escreva para contato@asuelc.com, de preferência a partir do e-mail cadastrado na conta. Podemos pedir uma confirmação de identidade antes de atender, para proteger você. Respondemos em até 15 dias.

Você também pode apresentar reclamação à ANPD, pelo site gov.br/anpd.

12. Menores de idade

O Ghya é um serviço para empresas e profissionais. Contas só podem ser criadas por maiores de 18 anos.

13. Mudanças nesta política

Podemos atualizar esta política quando o Ghya mudar ou a lei exigir. A data no alto da página mostra a última versão. Mudanças relevantes são avisadas por e-mail ou dentro do sistema antes de valerem.

14. Contato

• Empresa: Asuelc Serviços de Tecnologia da Informação Ltda., CNPJ 39.529.058/0001-62, Uberlândia/MG
• E-mail: contato@asuelc.com