Política de Privacidade

1. Papéis na LGPD

No uso do oficina360, em regra: a empresa contratante (oficina, loja ou prestador cadastrado) atua como controlador dos dados de clientes, veículos e operações inseridos no sistema; 49.895.003 LAWRENCE BUQUE OLIVEIRA (Deploy Sistemas ME, CNPJ 49.895.003/0001-20) atua como operador, processando dados conforme instruções contratuais e medidas de segurança da plataforma. Dados de login de usuários internos podem ser co-controlados conforme contrato.

2. Dados tratados

• Cadastros de pessoas (clientes/fornecedores): nome, documento, contatos, endereço e demais campos informados pela empresa.
• Pedidos, ordens de serviço, orçamentos, financeiro, estoque e documentos fiscais vinculados à operação.
• Dados de usuários do sistema (e-mail, perfil de acesso, registros de auditoria quando habilitados).
• Cookies estritamente necessários à sessão e registro de consentimento — ver Política de Cookies.
• Preferências locais de interface no navegador (localStorage / sessionStorage), quando aplicável — ver Política de Cookies.

3. Link público de documentos (pedido / OS / orçamento)

O sistema permite gerar um link confidencial para o cliente visualizar, imprimir ou salvar o documento comercial (pedido, ordem de serviço ou orçamento), enviado por e-mail ou WhatsApp pela empresa.

• Finalidade: execução de contrato e atendimento ao titular (Art. 7º, V, LGPD).
• Conteúdo: dados da empresa emissora, identificação resumida do cliente (nome; CPF/CNPJ e telefone parcialmente mascarados na visualização online), itens e valores.
• Validade: 90 dias para pedido e orçamento; 180 dias para ordem de serviço (variáveis DOCUMENTO_TOKEN_TTL_DIAS_PEDIDO e DOCUMENTO_TOKEN_TTL_DIAS_OS).
• Renovação: a empresa pode gerar novo link no PDV; quando o cliente possui e-mail cadastrado, o novo acesso é enviado automaticamente por e-mail.
• Revogação: usuários autorizados da empresa podem revogar o link a qualquer momento no PDV; links revogados ou expirados deixam de funcionar.
• Indexação: páginas públicas de documento não devem ser indexadas por buscadores (noindex e cabeçalhos X-Robots-Tag).
• Responsabilidade: a empresa controladora deve compartilhar o link apenas com o titular ou preposto autorizado e informar essa prática em sua política interna de privacidade.

Impressões internas (acesso autenticado) podem exibir dados completos para operação; a versão online via link público aplica mascaramento adicional de documento e telefone.

4. Validação pública de documentos eletrônicos (DOC / TER / CTR / TRL)

Comprovantes financeiros e aceites eletrônicos podem ser conferidos em página pública (/validar), com medidas de minimização e autenticação alinhadas à LGPD. A empresa emitente é a controladora dos dados exibidos.

• Finalidade: autenticação da emissão e verificação de integridade perante a parte interessada.
• Etapas de acesso: código impresso + data de emissão + tipo do documento; desafio anti-robô; e, nos documentos financeiros (DOC-), senha de 4 dígitos enviada à parte (e-mail/WhatsApp) com cópia opcional ao e-mail configurado pela empresa.
• Validade da senha (DOC-): 90 dias a partir da geração (configurável via DOCUMENTOS_VALIDACAO_PIN_TTL_DIAS); após o prazo, a empresa deve renovar a senha.
• Links: URLs públicas usam token opaco (/validar/t/…) para reduzir exposição do código na barra de endereço.
• Resumo online: nomes de parte/signatário e e-mails são parcialmente mascarados; o PDF original permanece integral após desbloqueio, para prova de autenticidade.
• Auditoria: tentativas e acessos à validação podem ser registrados (IP, evento, código) para accountability da controladora.
• Indexação: páginas de validação usam noindex / X-Robots-Tag.

Direitos do titular (acesso, correção, eliminação etc.) devem ser exercidos perante o controlador (empresa emitente), ou, quando couber, pelo operador em [email protected].

5. Backup da empresa e acesso suporte

Estes tratamentos ocorrem no servidor (base de dados e arquivos), não por cookies do navegador.

• Backup da empresa (Configurações): a plataforma disponibiliza a função de backup e a empresa contratante (cliente) também pode gerar a própria cópia de segurança em Configurações → Backup da Empresa, em regra pelo Administrador Principal. Podem ser gerados pacotes completo (inclui elementos sensíveis necessários à restauração, como usuários e certificados, quando selecionado) ou portável (com redução/anonimização de secrets e chaves). O arquivo (ZIP, podendo incluir SQL, Excel e anexos) fica disponível para download por link com token e validade limitada (ordem de grandeza: cerca de 30 minutos); após o prazo, é necessário gerar novamente. A geração e o download são registrados em auditoria. Após o download, a controladora é responsável por armazenar e compartilhar o arquivo com segurança, fora da plataforma.
• Acesso suporte: a contratante pode autorizar, por prazo determinado ou em modo «livre» configurável, que o perfil Master (fornecedor) acesse o ambiente da empresa para suporte técnico. A autorização é registrada (motivo, vigência, logs) e pode ser revogada a qualquer momento. Flags podem restringir dados sensíveis e valores monetários durante o acesso. Base legal típica: execução de contrato / legítimo interesse operacional, com consentimento/autorização explícita da controladora quando aplicável.

6. Bases legais e direitos do titular

O tratamento observa as bases do Art. 7º da LGPD (execução de contrato, cumprimento de obrigação legal, legítimo interesse quando aplicável e consentimento quando exigido). Titulares podem solicitar confirmação, acesso, correção, anonimização, portabilidade, eliminação e revogação de consentimento, nos termos dos arts. 18 e seguintes, mediante contato com o controlador (empresa contratante) ou, quando couber, com o operador em [email protected]. O consentimento quanto a cookies pode ser renovado ou revogado na área autenticada (modal «Sobre o sistema») ou novamente no login, conforme a Política de Cookies.

7. Segurança

Adotam-se medidas técnicas compatíveis com o serviço: autenticação, controle de perfis (incluindo níveis LGPD internos), tokens de link não sequenciais, expiração e revogação de links públicos, senha de validação com validade limitada, criptografia de dados sensíveis quando aplicável, backups com rastreio e registros de auditoria conforme módulos habilitados.

8. Alterações

Esta política pode ser atualizada para refletir mudanças legais, contratuais ou funcionais. O uso continuado após alterações relevantes pode exigir novo aceite conforme fluxos do sistema.