Política de Privacidade

1. Quem trata seus dados

Esta Política explica o tratamento de dados pessoais no Lapz — inclusive na área Tarefas, antes oferecida como Bedrock Time — e nos demais módulos disponibilizados pela Softable Tecnologia Ltda. ("Softable"), como o aplicativo de ponto, o aplicativo das maquininhas de cartão e a API para integrações. Dados pessoais são informações que identificam ou permitem identificar uma pessoa.

Dados administrados pela Organização: em geral, a empresa ou entidade que utiliza a Plataforma decide por que e como tratar informações de colaboradores, clientes e fornecedores, atuando como controladora. A Softable atua como operadora ao processar esses dados conforme instruções e contrato. Isso inclui pessoas que não usam a Plataforma, mas se relacionam com a Organização por ela: quem conversa pelo WhatsApp, faz uma reserva, paga numa maquininha, assina um documento ou abre um link compartilhado. Essas pessoas podem exercer seus direitos diretamente com a Organização ou pelo nosso canal de privacidade.

Operações próprias da Softable: atuamos como controladora quando definimos finalidades próprias, como administrar contas e a relação comercial, cobrar a assinatura, proteger o serviço, atender o suporte e o feedback sobre o produto, medir o uso da Plataforma e cumprir nossas obrigações legais. O papel depende da operação, não apenas do nome do produto.

2. Quais dados podem ser tratados

Os dados dependem dos módulos usados, das configurações e das informações fornecidas por você, pela Organização ou por integrações habilitadas. Nem todas as categorias abaixo são coletadas de todos os usuários.

• Conta e relacionamento: nome, e-mail, telefone, foto, cargo, Organização, permissões e comunicações com o suporte. Se você entrar com uma conta Google ou Microsoft, recebemos desse serviço seu nome, e-mail, foto de perfil e um identificador da conta; não recebemos sua senha.
• Operação e conteúdo: tarefas, projetos, horas, mensagens, comentários, anexos, documentos, cadastros de clientes e fornecedores e informações financeiras ou de trabalho inseridas nos módulos.
• Dados funcionais: quando utilizados os recursos correspondentes, dados contratuais, documentos de colaboradores e dependentes, remuneração, férias, escalas e registros de ponto.
• Localização e dados sensíveis: conforme o recurso e sua configuração, localização no registro de ponto, imagens ou biometria facial e dados de saúde presentes em documentos, como atestados. Uma foto não é automaticamente dado biométrico; seu tratamento para identificação biométrica recebe proteção específica. No ponto com reconhecimento facial, guardamos um modelo numérico do rosto, e não a foto usada para gerá-lo, e o colaborador tem uma alternativa sem biometria. Esse modelo é apagado na hora se o colaborador revogar o consentimento e em até 30 dias após o desligamento.
• Links de preenchimento: quando o colaborador atualiza seus dados por um link enviado pelo RH, registramos o acesso com IP e navegador e, se ele permitir no navegador, a localização aproximada e a distância até o endereço cadastrado, exibidas ao RH para conferência.
• Clientes e contatos da Organização: no WhatsApp, nome, número e foto de perfil, mensagens, áudios e suas transcrições, fotos, vídeos, documentos, localização e contatos compartilhados, participantes de grupos e informações de entrega, leitura e digitação. Em reservas, nome, telefone, e-mail, data de aniversário, observações e a escolha sobre receber comunicações.
• Bancos e pagamentos: extratos importados por arquivo ou conectados pelo Open Finance, com as transações e os nomes de quem pagou ou recebeu. Nos pagamentos feitos na maquininha da Organização, registramos valor, forma de pagamento, bandeira, os 4 últimos dígitos do cartão e o código da transação; nunca o número completo, a validade ou o código de segurança.
• Links e páginas públicas: quando alguém abre um documento compartilhado, uma página pública ou um link de assinatura, podemos registrar data, IP, navegador e o e-mail informado. Na assinatura eletrônica, também código de verificação, localização informada e, quando exigidos pela Organização, selfie e documento de identificação, como detalha a Política de Assinatura Eletrônica.
• Documentos fiscais, processos e certificados: notas fiscais, dados de empresas, o certificado digital A1 cadastrado pela Organização, com a senha guardada com criptografia, e, no módulo Jurídico, dados públicos de processos e comunicações dos tribunais, inclusive nomes das partes e advogados.
• Acesso, segurança e uso: endereço IP, cidade aproximada estimada a partir do IP para alertas de novo acesso, navegador, dispositivo, horários, sessões, dispositivos confiáveis, métodos de verificação em duas etapas (como chaves de acesso e aplicativo autenticador), eventos de auditoria, versão e data de aceite dos documentos e o registro de atividade, com as páginas abertas e as ações feitas na Plataforma.
• Feedback sobre o produto: quando você envia um feedback, guardamos o texto, os desenhos e marcações e o print da tela que você escolheu enviar. O print mostra o que estava na tela naquele momento, que pode incluir dados de outras pessoas; confira antes de enviar.
• IA e comunicações: solicitações feitas aos assistentes, documentos e contexto necessários à resposta, resultados gerados, preferências que você pede ao assistente para lembrar, o número de WhatsApp que você vincular ao Assistente e informações de envio e entrega de e-mails, SMS e códigos de verificação.
• API para integrações: as chaves de acesso criadas pela Organização, das quais guardamos apenas um resumo criptográfico, e o registro de uso de cada chave.

3. Para que usamos e quais bases se aplicam

• Prestar o serviço e administrar a conta: autenticar acessos, executar funções solicitadas, atender o suporte e administrar e cobrar a contratação. Conforme a relação com o titular, podem se aplicar execução de contrato, procedimentos preliminares ou a base definida pela Organização controladora.
• Cumprir obrigações e exercer direitos: manter registros exigidos, atender determinações válidas e apoiar a defesa de direitos, com fundamento em obrigação legal ou regulatória e exercício regular de direitos.
• Proteger e melhorar o serviço: detectar abuso, investigar falhas, medir o uso dos módulos, responder feedbacks e avaliar a qualidade das respostas dos recursos de IA. Quando utilizado o legítimo interesse, devem ser consideradas a necessidade, as expectativas do titular e as salvaguardas aos seus direitos. Essa base não se aplica a dados pessoais sensíveis.
• Tratamentos baseados em consentimento: quando necessário, a solicitação deve indicar a finalidade e permitir uma escolha específica. O consentimento pode ser revogado, sem tornar ilícito o tratamento anterior que tenha sido válido.

Dados sensíveis, como biometria e informações de saúde, exigem uma das hipóteses específicas do art. 11 da LGPD. Sua presença em um documento ou a habilitação de um módulo não substituem essa avaliação. A Organização deve informar aos seus colaboradores a finalidade, a necessidade e a base do tratamento que determina.

A Softable não usa os dados para publicidade nem cria perfis de marketing.

4. Com quem os dados podem ser compartilhados

A Softable não vende dados pessoais. Para operar os serviços, dados podem ser acessados ou processados pelos seguintes destinatários, conforme a finalidade:

• Pessoas autorizadas na Organização: administradores e outros usuários, de acordo com suas permissões e com o contexto do módulo. Uma conta corporativa não torna todo conteúdo acessível a todos.
• Equipe da Softable: pessoas da equipe com dever de sigilo acessam o necessário para suporte, segurança, cobrança e para responder feedbacks. Quando um atendimento exige ver a Plataforma como um usuário vê, o acesso é temporário e fica registrado em trilha de auditoria.
• Infraestrutura e hospedagem: Amazon Web Services, que processa e armazena os dados e arquivos e envia SMS de reservas, e Vercel, que disponibiliza as páginas da Plataforma.
• E-mails e SMS: o Resend processa informações como destinatário, conteúdo necessário à mensagem e eventos de entrega para enviar convites, avisos de segurança e recuperação de senha. A Twilio envia e confere os códigos de verificação por SMS da assinatura eletrônica. Não compartilhe links de recuperação nem códigos: eles permitem redefinir o acesso ou confirmar sua identidade durante sua validade.
• Provedores de IA: OpenAI e Anthropic processam solicitações, arquivos e contexto necessários aos recursos de IA utilizados. O fornecedor pode variar conforme a função e a configuração.
• WhatsApp: as mensagens trafegam pela infraestrutura do WhatsApp, da Meta, tanto na conexão pela API oficial quanto na conexão pelo QR code. A Meta também pode entregar códigos de verificação.
• Login com Google ou Microsoft: se você escolher essa forma de entrar, o Google ou a Microsoft confirmam sua identidade e nos enviam os dados de conta descritos acima.
• Cobrança da assinatura: Asaas e Stripe processam as cobranças da Plataforma com os dados de faturamento da Organização. Os dados do cartão usado para pagar a assinatura ficam com esses processadores, e não com a Softable.
• Bancos e pagamentos da Organização: a Pluggy conecta as contas bancárias pelo Open Finance, com o consentimento dado pela Organização no próprio banco, e nos entrega os extratos. Na maquininha, o pagamento é processado pela credenciadora contratada pela Organização, como o PagBank; a Plataforma recebe só o resultado e os dados da transação descritos acima.
• Integrações habilitadas: serviços conectados pela Organização, como Autentique (assinatura eletrônica), Pontomais (ponto), Saipos (vendas), Slack (importação de conversas), Microsoft SharePoint e GitHub, ou sistemas próprios ligados pela API do Lapz, conforme os dados necessários à integração e as permissões concedidas.
• Assinatura eletrônica: a autoridade de carimbo do tempo recebe apenas o resumo criptográfico do documento, nunca o conteúdo nem dados de quem assinou.
• Órgãos públicos: consultas de notas fiscais aos ambientes da Receita e das Secretarias da Fazenda, feitas com o certificado digital cadastrado pela Organização, e consultas de processos e comunicações às bases públicas do Poder Judiciário, como o DataJud, do CNJ, e o Comunica PJe.
• Consultas e mapas: serviços públicos que recebem apenas o necessário à consulta, como BrasilAPI (CNPJ), ViaCEP (CEP), IBGE e Feriados API (cidades e feriados), OpenStreetMap (endereços e mapas) e ipapi.co (cidade aproximada de um IP em alertas de acesso).
• Autoridades e proteção de direitos: quando houver obrigação legal, determinação válida ou necessidade de exercer direitos, dentro dos limites aplicáveis.

Conteúdos publicados ou enviados por links de compartilhamento podem ser acessados pelos destinatários definidos no recurso. Confira as permissões antes de compartilhar informações pessoais ou confidenciais.

Fórum de feedback: um feedback nasce privado, visível só para você e para a equipe do Lapz. Se a equipe decidir publicá-lo no fórum, que é visto por usuários de outras Organizações, ela escreve o título e o texto publicados, mostra apenas o seu primeiro nome e só inclui o print se o marcar para publicação, podendo cobrir partes dele. O e-mail, a Organização e a página de origem nunca são publicados.

5. Como funcionam os recursos de IA

Ao utilizar uma função de IA, sua solicitação pode ser combinada com documentos e informações da Organização necessários à tarefa e disponíveis no contexto do recurso. Esse material pode ser enviado ao provedor que executa o modelo. Não é necessário que você copie manualmente todos os dados na conversa para que informações do contexto sejam processadas. O assistente só consulta e altera o que as suas permissões permitem, e pede sua confirmação antes de executar uma ação.

No WhatsApp, a IA também pode resumir conversas, sugerir e reescrever respostas, transcrever mensagens de voz e, quando a Organização ativa os recursos correspondentes, responder clientes automaticamente com base nas mensagens recentes da conversa e nas instruções e respostas cadastradas pela Organização, e analisar o humor das conversas para alertar a equipe sobre clientes insatisfeitos. Nas reservas, um assistente responde dúvidas de visitantes usando apenas as informações publicadas pelo estabelecimento.

Se você vincular seu número ao Assistente do Lapz no WhatsApp, as perguntas e respostas trafegam pelo WhatsApp e podem conter dados da sua Organização. O vínculo exige confirmação no seu perfil, funciona como uma sessão, pode ser desfeito a qualquer momento e vence após 90 dias sem uso. O texto das respostas é apagado depois de 90 dias.

Use apenas informações necessárias e autorizadas. Resultados podem conter erros e devem ser revisados antes de decisões ou ações que afetem pessoas. Você pode solicitar informações sobre o tratamento e, nas hipóteses legais, a revisão de decisões tomadas unicamente com base em tratamento automatizado.

A Softable não usa seus dados para treinar modelos de IA. Os provedores são contratados por meio de suas APIs para uso empresarial, cujas condições não preveem o uso dos dados enviados para treinar os modelos deles; eles podem manter esses dados por prazo limitado para segurança e prevenção de abuso. Esta Política e o aceite dos Termos não concedem autorização genérica para treinamento com dados pessoais ou conteúdos confidenciais. Para detalhes sobre fornecedores e condições aplicáveis ao seu recurso, utilize o canal de privacidade.

6. Conversas de WhatsApp

Quando você conversa pelo WhatsApp com uma Organização que usa o Lapz, a equipe dela vê e responde suas mensagens pela Plataforma. A Organização é a controladora desses dados e define quem da equipe tem acesso a cada número.

• O que fica registrado: as mensagens e mídias trocadas, inclusive conversas anteriores importadas na sincronização do número, e informações de entrega, leitura e digitação fornecidas pelo WhatsApp.
• Mensagens apagadas ou editadas: se você apagar ou editar uma mensagem no WhatsApp, a versão original continua registrada e visível para a equipe da Organização, identificada como apagada ou editada.
• Atendimento automático: se a Organização ativar fluxos ou o bot com IA, algumas respostas podem ser automáticas. Você pode pedir para falar com uma pessoa a qualquer momento.
• Análise de humor: se a Organização ativar esse recurso, a IA avalia o tom das mensagens para indicar à equipe conversas que precisam de atenção. O resultado não é enviado a você e não decide nada sozinho.
• Notas internas: a equipe pode registrar notas sobre a conversa que não são enviadas a você.

Para acessar, corrigir ou pedir a eliminação desses dados, procure a Organização com quem você conversou. Se não conseguir, escreva para o canal de privacidade informando o número de WhatsApp e a Organização.

7. Armazenamento e transferências internacionais

Realizamos transferência internacional de dados. Os dados e arquivos da Plataforma são armazenados na Amazon Web Services, em servidores nos Estados Unidos. Fornecedores de páginas, e-mail, SMS, IA, mensagens, login e consultas, como Vercel, Resend, Twilio, OpenAI, Anthropic, Meta, Google, Microsoft, Stripe e ipapi.co, também processam dados fora do Brasil, conforme o recurso utilizado.

Transferências internacionais devem ter uma hipótese legal e um mecanismo válido nos termos da LGPD e da regulamentação da ANPD. A simples utilização de criptografia ou de um fornecedor internacional não substitui esses requisitos. Você pode solicitar ao canal de privacidade informações sobre os destinatários, países e mecanismos aplicáveis ao seu tratamento.

8. Segurança e incidentes

A Plataforma utiliza medidas como comunicação criptografada, autenticação com verificação em duas etapas, permissões de acesso, separação lógica entre Organizações e registros de auditoria. Dados mais sensíveis, como o CID de atestados, senhas do cofre e senhas de certificados digitais, recebem uma camada adicional de criptografia no banco de dados. Senhas, códigos de verificação e chaves da API não ficam guardados: registramos apenas um resumo criptográfico que permite conferi-los. Essas medidas reduzem riscos, mas nenhum serviço está livre de incidentes.

Proteja seu dispositivo e credenciais e comunique acessos suspeitos. Em caso de incidente envolvendo dados pessoais, cabe a cada parte adotar as providências compatíveis com seu papel, inclusive investigação, contenção e as comunicações aos titulares e à ANPD quando legalmente exigidas.

9. Por quanto tempo os dados são mantidos

Não existe um prazo único para todas as informações. Consideramos a finalidade do tratamento, a vigência da relação, as instruções da Organização, as obrigações legais e a necessidade de exercício de direitos.

• Dados de conta e operação são mantidos enquanto necessários à prestação dos serviços e às demais finalidades legítimas aplicáveis.
• Documentos trabalhistas, fiscais, registros de acesso e outros registros obrigatórios seguem os prazos legais pertinentes à sua categoria e ao responsável pelo tratamento.
• Registros de segurança e aceite, acessos a links compartilhados e evidências de assinatura podem ser conservados para auditoria e exercício de direitos, com acesso limitado à sua finalidade. A via final e a trilha de auditoria de um documento assinado ficam em arquivo protegido contra alteração e exclusão por cerca de 10 anos, como explica a Política de Assinatura Eletrônica.
• O registro detalhado de atividade (páginas abertas e ações) é apagado após 90 dias; depois disso ficam apenas totais por dia.
• O texto das respostas do Assistente do Lapz no WhatsApp é apagado após 90 dias.
• Conversas e mídias de WhatsApp ficam disponíveis enquanto a Organização mantiver o número no Lapz. Excluir uma conversa na interface a retira do atendimento, mas o histórico pode ser mantido para auditoria até que a Organização ou o titular peça a eliminação, observadas as hipóteses legais de conservação.
• Ao desconectar um banco do Open Finance, a autorização é revogada e novas transações deixam de ser importadas; os extratos já importados continuam com a Organização.
• Cópias de segurança e históricos podem ter ciclos próprios de conservação. Uma exclusão na interface ou o encerramento do acesso não significam eliminação imediata de todas as cópias.

Pedidos de eliminação são avaliados conforme a LGPD. Se houver fundamento para conservar alguma informação, o motivo e os limites devem ser informados ao titular. Encerradas as finalidades e as hipóteses legítimas de conservação, cabe eliminar ou anonimizar os dados, quando aplicável. Para os prazos específicos do seu caso, fale com o controlador ou com nosso canal de privacidade.

10. Seus direitos e como exercê-los

Nos limites e condições da LGPD, você pode solicitar:

• Confirmação de tratamento e acesso aos seus dados.
• Correção de informações incompletas, inexatas ou desatualizadas.
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desacordo com a lei.
• Portabilidade, conforme a regulamentação, preservados os segredos comercial e industrial.
• Eliminação de dados tratados com consentimento, ressalvadas as hipóteses legais de conservação.
• Informação sobre compartilhamentos, sobre a possibilidade de não consentir e as consequências da recusa; revogação do consentimento.
• Oposição ao tratamento realizado em desconformidade com a LGPD nas hipóteses legais.
• Revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses e informações sobre critérios e procedimentos, observados os limites legais.

Como pedir: envie uma mensagem para privacidade@softable.com.br informando seu nome, o e-mail usado na Plataforma, a Organização relacionada e o direito que deseja exercer. Não envie senhas, códigos de autenticação ou documentos sensíveis sem solicitação.

Podemos solicitar informações proporcionais para confirmar sua identidade e evitar entregar dados a outra pessoa. O atendimento é gratuito e observa os prazos legais. Quando a Organização for a controladora, você também pode procurá-la diretamente; a Softable apoiará o encaminhamento e o atendimento dentro de suas atribuições.

Se o atendimento pelo controlador não resolver sua solicitação, você pode apresentar uma petição de titular à ANPD, sem prejuízo dos demais meios legais.

11. Cookies e armazenamento no navegador

Utilizamos cookies e tecnologias como armazenamento local e de sessão para autenticação, continuidade da sessão, segurança, preferências de interface e funcionamento de recursos. Por exemplo, um cookie mantém a sessão ativa e outro lembra, por até 30 dias, um dispositivo que você marcou como confiável na verificação em duas etapas. Algumas informações permanecem entre visitas; outras duram apenas a sessão.

A Plataforma não usa cookies de publicidade nem ferramentas de análise de terceiros. Alguns conteúdos são carregados de outros serviços, como mapas do OpenStreetMap, vídeos incorporados em manuais, o leitor de PDF, a janela de conexão de bancos da Pluggy e as páginas de login do Google e da Microsoft; ao exibi-los, o navegador informa a esses serviços dados técnicos como o endereço IP, e eles seguem suas próprias políticas.

A Política de Cookies lista cada cookie e o que fica guardado no navegador, com a finalidade e a duração. Você pode gerenciar cookies e dados de sites nas configurações do navegador. Bloquear ou apagar dados necessários pode encerrar sua sessão, remover preferências ou impedir funções. Quando um uso depender de consentimento, a escolha deverá ser solicitada de forma específica, sem presumir autorização pelo simples aceite destes documentos.

12. Crianças e adolescentes

A Plataforma é voltada à gestão e ao uso profissional, sem direcionamento a crianças. Organizações que insiram dados de dependentes ou adolescentes em contexto legalmente permitido devem observar a necessidade do tratamento, a base legal adequada e o melhor interesse da criança ou do adolescente.

Se identificar dados de crianças ou adolescentes tratados indevidamente, procure o canal de privacidade para avaliação.

13. Atualizações e canal de privacidade

Esta Política pode ser atualizada para refletir mudanças nos serviços ou nas regras aplicáveis. A data e a versão ficam indicadas no início do documento. Alterações relevantes serão comunicadas pelos canais disponíveis. A ciência de uma nova versão não substitui consentimento específico quando exigido.

Responsável pela Plataforma: Softable Tecnologia Ltda., São Paulo/SP. Os dados completos de identificação da prestadora constam da contratação.

Privacidade e direitos sobre dados: privacidade@softable.com.br.
Suporte e assuntos gerais: contato@softable.com.br.

Consulte também os Termos de Uso, a Política de Assinatura Eletrônica e a Lei Geral de Proteção de Dados Pessoais.