Política de Privacidade
Quais dados pessoais o Talanto trata, por quê, com quem os compartilha e como você exerce seus direitos pela LGPD.
1. A quem este texto se aplica
O Talanto é uma plataforma de cobrança, conta digital e conciliação. Ela funciona em três níveis: master, marketplace e estabelecimento. Este texto explica quais dados pessoais a plataforma trata, por quê, com quem os compartilha e como você exerce seus direitos.
Ele vale para quem acessa a plataforma (administradores e operadores de uma empresa) e, no que couber, para os clientes finais dos estabelecimentos, cujos dados passam pela plataforma.
2. Controlador e operador
- Razão social
- A definir pelo controlador
- CNPJ
- A definir pelo controlador
- Endereço
- A definir pelo controlador
- Encarregado (DPO)
- A definir pelo controlador
- Dados da conta de quem acessa a plataforma (nome, e-mail, senha e registros de acesso): o controlador acima decide as finalidades e atua como controlador.
- Dados dos clientes finais que o estabelecimento cobra ou atende (nome, documento, contato, valores e histórico de cobranças): o estabelecimento define as finalidades e atua como controlador. O Talanto trata esses dados como operador, conforme as instruções do estabelecimento e as regras do marketplace que o cadastrou.
- Quando um marketplace opera a própria marca sobre a plataforma, ele responde pelas instruções que dá aos seus estabelecimentos. O contrato entre as partes pode detalhar essa divisão.
3. Dados que a plataforma trata
- Conta de acesso
- Nome, e-mail ou usuário, papel (administrador ou operador), níveis de acesso por módulo e a situação do cadastro (ativo, convite pendente, e-mail validado).
- Senha
- O sistema guarda a senha só como hash bcrypt. Nem a equipe do Talanto consegue ler a sua senha.
- Registros de acesso e auditoria
- Endereço IP e o histórico das operações que cada usuário executa, como convidar usuários, aprovar acessos, alterar permissões e movimentar valores.
- Dados da empresa
- Razão social, CNPJ, endereço e contatos da empresa que usa a plataforma.
- Cobranças e transações
- Nome e documento do pagador, valor, vencimento, forma de pagamento (Pix, boleto ou cartão), situação da cobrança, baixas, extratos e lançamentos.
- Dados de cartão
- O sistema não guarda o número completo do cartão nem o código de segurança em servidor ou em registro técnico. O provedor de pagamento processa o cartão.
- Contas bancárias (Open Finance)
- Quando o estabelecimento conecta suas contas, a plataforma importa o extrato dessas contas. Isso só acontece com a ativação da função e o consentimento do titular.
4. Para que usamos os dados e em que base legal
- Criar a conta, autenticar e controlar acessos
- Execução de contrato (art. 7º, V, da LGPD).
- Cobrar, receber, conciliar e emitir extratos
- Execução de contrato (art. 7º, V).
- Enviar e-mails de convite e de verificação
- Execução de contrato (art. 7º, V).
- Proteger a plataforma, prevenir fraude e manter a trilha de auditoria
- Legítimo interesse (art. 7º, IX) e, quando a lei exige, cumprimento de obrigação legal ou regulatória (art. 7º, II).
- Guardar registros financeiros e fiscais
- Cumprimento de obrigação legal ou regulatória (art. 7º, II).
- Importar extratos por Open Finance
- Consentimento do titular (art. 7º, I), que ele pode revogar.
O Talanto usa os dados só para estas finalidades.
5. Com quem compartilhamos
- Provedores de pagamento, como DeltaPag e CycloPay, só quando o master ou o marketplace os ativa. Eles recebem os dados necessários para criar e conciliar a cobrança. Nos testes iniciais nenhum provedor real está ligado e as cobranças rodam em ambiente simulado.
- Provedores bancários e de Open Finance, só quando o estabelecimento conecta suas contas e dá o consentimento.
- Provedores de infraestrutura que tratam dados em nome do Talanto: hospedagem (Vercel), banco de dados (Supabase) e envio de e-mail transacional (Resend). A localização dos servidores e as garantias de transferência internacional: ver o campo abaixo.
- Autoridades, quando a lei ou uma ordem judicial exige.
- Localização dos servidores e transferência internacional
- A definir pelo controlador
Dentro da plataforma, o master e o marketplace enxergam os dados dos estabelecimentos que operam, conforme a hierarquia. Um estabelecimento nunca vê os dados de outro. O Talanto não compartilha dados com terceiros fora desta lista, salvo obrigação legal.
6. Por quanto tempo guardamos
- Os dados da conta ficam enquanto a conta existir. Quando o administrador desativa um usuário, o acesso termina e as sessões abertas caem.
- O livro de lançamentos financeiros só aceita inclusão: o banco de dados bloqueia alteração e exclusão. Por isso um pedido de eliminação não alcança esses registros enquanto a lei exigir a guarda.
- Os registros de acesso e de auditoria ficam pelo tempo que a segurança e as obrigações legais pedem.
- Prazos de retenção por tipo de dado
- A definir pelo controlador
7. Seus direitos
O art. 18 da LGPD garante ao titular, a qualquer momento e mediante requisição:
- confirmar que existe tratamento de seus dados;
- acessar os dados;
- corrigir dados incompletos, inexatos ou desatualizados;
- pedir anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desacordo com a lei;
- pedir a portabilidade dos dados;
- pedir a eliminação dos dados tratados com base em consentimento;
- saber com quais entidades públicas e privadas compartilhamos os dados;
- saber que pode negar o consentimento e quais são as consequências;
- revogar o consentimento.
Para exercer esses direitos, escreva ao encarregado. Se você é cliente final de um estabelecimento, o pedido também pode ir direto ao estabelecimento, que controla os seus dados. O Talanto encaminha ao estabelecimento o pedido que receber. Quem usa a plataforma pode pedir a correção de nome e e-mail ao administrador da própria empresa. Antes de atender, podemos pedir que você confirme sua identidade. Respondemos nos prazos da lei. Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).
- Contato do encarregado
- A definir pelo controlador
8. Como protegemos os dados
- Isolamento por empresa no banco de dados: cada empresa lê e grava só os próprios dados, com reforço na aplicação.
- Senhas guardadas só como hash bcrypt.
- Sessão por cookie protegido, que expira após 4 horas sem uso. O administrador revoga sessões a qualquer momento, e a troca de senha ou a desativação do usuário derruba as sessões abertas.
- Convite por link de uso único, válido por 72 horas, com aprovação do administrador antes do primeiro acesso.
- Código de verificação de e-mail válido por 15 minutos, com limite de 5 tentativas.
- Limite de tentativas de login.
- Credenciais de provedores em cofre cifrado, fora do código.
- Trilha de auditoria das operações administrativas e financeiras.
- Conexão por HTTPS. Mensagens de erro ao usuário não expõem detalhes internos do sistema.
Nenhuma medida elimina todo o risco. Se ocorrer um incidente que possa causar dano relevante, o controlador comunica a ANPD e os titulares afetados nos termos do art. 48 da LGPD.
10. Mudanças neste texto
Quando este texto mudar, publicamos a nova versão nesta página, com número e data. Dúvidas sobre privacidade vão para o encarregado, no contato da seção 7.