Política de Privacidade
Quais dados o sistema guarda, para que, com quem passam e como você exerce seus direitos (LGPD).
Versão · vigente desde 12 de novembro de 2026
Quem somos e quem decide sobre os dados
O Orça na Obra é um sistema para empresas montarem orçamentos, acompanharem obras e cobrarem seus clientes. Ele é oferecido por 64.928.101 MATEUS SILVA CASAGRANDE, CNPJ 64.928.101/0001-00, com sede em Rua Brigadeiro Eduardo Gomes, 850, Centro, Xinguara/PA, CEP 68555-085.
Cada empresa que contrata o sistema é a controladora dos dados dos próprios clientes, orçamentos e obras: ela decide o que registrar e por quê. Nesse caso, nós somos operadores e tratamos esses dados só para prestar o serviço, seguindo as instruções da empresa. Dos dados da conta de cada pessoa (acesso, segurança) e da cobrança da assinatura, nós somos os controladores.
Encarregado pelo tratamento de dados (DPO)
Para falar sobre seus dados pessoais, escreva para Mateus Silva Casagrande em [email protected].
Quais dados tratamos
| Dado | De onde vem | Para que serve |
|---|---|---|
| Nome, e-mail e senha (guardada só como código irreversível), foto da conta Google se você entrar com o Google | Você, ao aceitar o convite; o Google, se você escolher entrar com ele | Criar a conta, identificar quem fez o quê e proteger o acesso |
| Aparelho, endereço IP e data de cada acesso; tentativas de login | Automático, a cada acesso | Segurança, limite de tentativas e investigação de fraude |
| Versão dos termos aceita, data e IP do aceite | Você, ao aceitar | Provar o aceite dos Termos e desta Política |
| Registro das ações (quem criou, alterou ou apagou o quê, e quando) | Automático | Segurança e prestação de contas dentro da empresa |
| Razão social, CNPJ, telefone, e-mail, endereço e logo da empresa | O admin da empresa | Montar os orçamentos e documentos com a marca da empresa |
| Clientes da empresa (nome, CPF ou CNPJ, telefone, e-mail, endereço), orçamentos, obras, recebimentos e comissões | A equipe da empresa | Prestar o serviço contratado pela empresa (somos operadores) |
| Nome, CPF ou CNPJ e e-mail de cobrança da empresa contratante; valores, vencimentos e situação das faturas | O admin da empresa | Cobrar e emitir o histórico da assinatura |
| Sugestões e pedidos de suporte (título, descrição e tela de origem) | Quem enviou | Responder e decidir o que melhorar; o texto das sugestões, sem dados pessoais, também passa por inteligência artificial para agrupar as parecidas |
Por que podemos tratar esses dados
- Execução de contrato (LGPD, art. 7º, V): criar a conta, prestar o serviço e cobrar a assinatura.
- Cumprimento de obrigação legal (art. 7º, II): guardar registros de cobrança pelo prazo fiscal.
- Legítimo interesse (art. 7º, IX): segurança do sistema, prevenção a fraude e registro de acessos, sempre no mínimo necessário.
- Exercício regular de direitos (art. 7º, VI): guardar a prova do aceite dos Termos e do histórico de ações.
Com quem os dados são compartilhados
Não vendemos dados e não usamos dados para publicidade. Para o sistema funcionar, estes provedores recebem dados em nosso nome:
| Provedor | Para que | Quais dados | Onde |
|---|---|---|---|
| Supabase | Banco de dados (Postgres hospedado na região de São Paulo) | Todos os dados do produto: contas, empresas, clientes, orçamentos, obras, recebimentos, comissões e auditoria. | Brasil |
| Cloudflare R2 | Armazenamento de arquivos | A logo da empresa, enviada por quem administra a conta. | Rede global da Cloudflare |
| Resend | Envio de e-mails do sistema | Nome e e-mail de quem recebe convite, redefinição de senha e avisos do sistema, com o texto do e-mail. | Estados Unidos |
| Login com a conta Google (opcional) | Ao entrar com o Google, recebemos nome, e-mail e foto da conta Google; o Google sabe que você entrou no produto. | Estados Unidos | |
| Asaas | Cobrança da assinatura, com PIX e cartão de crédito | Nome, CNPJ ou CPF e e-mail de cobrança da empresa contratante, e os valores e vencimentos. O número do cartão é digitado na página do Asaas e não passa pelo produto. | Brasil |
| Pagar.me | Cobrança da assinatura, com PIX e cartão de crédito (gateway alternativo ao Asaas) | Os mesmos dados enviados ao Asaas. Cada empresa é cobrada por um gateway só. | Brasil |
| Anthropic (Claude) | Inteligência artificial que ajuda a nossa equipe a agrupar sugestões parecidas | Só o título, a descrição e a tela das sugestões enviadas pelos usuários, sem e-mail, telefone, documento nem nome de empresa ou de pessoa. Nada é juntado sem a revisão de uma pessoa da nossa equipe. | Estados Unidos |
Alguns provedores ficam fora do Brasil (Estados Unidos e rede global da Cloudflare). Nesses casos a transferência internacional (LGPD, art. 33) acontece com base nos contratos de tratamento de dados que esses provedores oferecem. Também podemos compartilhar dados por ordem de autoridade competente.
Inteligência artificial. Para agrupar sugestões parecidas, a nossa equipe envia à Anthropic (Claude) apenas o título, a descrição e a tela das sugestões, depois de retirarmos e-mails, telefones, documentos e nomes de empresas e de pessoas. Quem decide juntar é sempre uma pessoa da nossa equipe; a IA só propõe. Não enviamos dados de clientes, orçamentos nem de cobrança.
Cookies e armazenamento no seu aparelho
O Orça na Obra usa somente cookies essenciais, sem os quais não há login. Não usamos cookies de métrica, publicidade ou de terceiros, e por isso não mostramos faixa de consentimento de cookies. Se isso mudar, pediremos seu consentimento antes de gravar qualquer cookie novo.
| Cookie | Para que serve | Duração |
|---|---|---|
better-auth.session_token | Mantém você conectado depois do login. | até 30 dias, ou até você sair |
better-auth.dont_remember | Lembra que você não quis ficar conectado, quando o login oferece essa escolha. | até fechar o navegador |
better-auth.state | Confere que a volta do login com o Google é a que você começou (proteção contra fraude). | poucos minutos |
Também guardamos no aparelho, sem cookie, o que o app precisa para funcionar sem internet:
- Armazenamento local do navegador: Preferências da tela (filtros, abas) por empresa e por pessoa.
- Banco local do navegador (IndexedDB): Fila de ações feitas sem internet, enviada quando a conexão volta. É apagada ao sair da conta.
- Cache do app instalável (service worker): Arquivos do próprio app (telas, fontes, ícones) para abrir mais rápido e sem internet.
Por quanto tempo guardamos
- Enquanto a conta e a empresa estiverem ativas, para o serviço funcionar.
- Ao apagar sua conta, removemos seus dados de acesso na hora. Seu nome nos registros da empresa (por exemplo, quem criou um orçamento) vira “Pessoa removida”.
- Ao pedir a exclusão da empresa, há uma carência de 30 dias, em que você pode baixar os dados ou cancelar o pedido. Passada a carência, apagamos de verdade os dados, os arquivos e as contas que ficariam sem empresa.
- Guardamos só o necessário por obrigação legal: o resumo das faturas e o registro de que a exclusão aconteceu (nome e CNPJ da empresa), pelo prazo fiscal e de defesa em processos. Nada de clientes da empresa fica.
- Cópias de segurança do provedor do banco de dados se renovam por conta própria: uma por dia, guardadas por 7 dias e apagadas depois disso.
Seus direitos
Pela LGPD (art. 18) você pode confirmar que tratamos seus dados, acessá-los, corrigi-los, pedir a portabilidade, a eliminação e a informação sobre com quem compartilhamos. O que dá para fazer sozinho, na tela:
- Baixar seus dados e apagar sua conta: em Configurações › Privacidade.
- Admin da empresa: baixar todos os dados da empresa (arquivos JSON e planilhas CSV em um ZIP) e pedir a exclusão da empresa, na mesma tela.
- Corrigir nome e dados da empresa: nas Configurações.
Para o resto, escreva ao encarregado (seção acima). Respondemos em até 15 dias. Se você é cliente de uma empresa que usa o Orça na Obra, fale primeiro com a empresa: ela é a controladora dos seus dados e nós seguimos as instruções dela. Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).
Como protegemos os dados
- Conexão protegida (HTTPS) e senhas guardadas só como código irreversível (argon2id).
- Cada empresa só enxerga os próprios dados: o banco recusa o acesso entre empresas, mesmo se houver falha na tela.
- Papéis na equipe (admin, vendedor, financeiro, instalador) limitam o que cada pessoa vê, e custos e margens só aparecem para quem tem permissão.
- Registro de ações e limite de tentativas de login.
- A agência que opera o sistema só entra numa empresa em modo suporte, com motivo, e tudo fica registrado.
- O número do cartão é digitado na página do gateway de pagamento e nunca passa por nós.
Crianças e adolescentes
O Orça na Obra é um sistema de trabalho, feito para maiores de 18 anos, e não coleta dados de crianças de propósito.
Mudanças nesta política
Quando mudarmos este texto, publicamos uma versão nova com a data no topo e pedimos que você aceite de novo no próximo acesso. Os Termos de Uso seguem a mesma versão.