Política de Privacidade do Tramitou

Esta política explica quais dados pessoais o Tramitou trata, para que servem, com quem são compartilhados, por quanto tempo ficam guardados e quais são os seus direitos. Ela segue a Lei Geral de Proteção de Dados (Lei nº 13.709/2018, a LGPD) e o Marco Civil da Internet (Lei nº 12.965/2014).

Resumo

• O Tramitou usa os seus dados para organizar as suas jornadas, prazos e documentos.
• O Tramitou não vende dados pessoais e não exibe publicidade de terceiros.
• Na jornada do visto americano, aparece para todos um convite para a assessoria paga da MB Solutions Ltda., que oferece o Tramitou. Os seus dados não são enviados a ela: você decide se escreve e o que conta (seção 6).
• Os arquivos do cofre de documentos ficam em armazenamento privado e não são enviados à inteligência artificial.
• O Assistente e o Verificador de golpes usam um fornecedor de inteligência artificial fora do Brasil, só depois da sua autorização, pedida numa tela própria. A seção 5 mostra o que é enviado.
• No cadastro, o Tramitou pede o CPF para garantir uma conta e um teste grátis por pessoa, mas não guarda o número: fica só um código feito a partir dele.
• Os pagamentos da assinatura são processados por uma instituição de pagamento. O Tramitou não recebe dados de cartão.
• Você pode baixar uma cópia dos seus dados e pedir a exclusão da conta em Perfil > Privacidade.

1. Quem é responsável pelos seus dados

O Tramitou é oferecido por MB Solutions Ltda., CNPJ 50.826.383/0001-20, com sede em Rua Petrolina, 916, casa 1, bairro São Pedro, Esmeraldas (MG), CEP 32809-316. Essa empresa é a controladora dos dados: é ela que decide como os seus dados pessoais são tratados.

Encarregado pelo tratamento de dados pessoais (LGPD, art. 41): Norton Luiz Berbert, pelo e-mail privacidade@tramitou.com.br. Para outros assuntos, use contato@tramitou.com.br.

2. Quais dados tratamos

Dados que você informa

• Cadastro: nome, e-mail, CPF, celular e estado. Município, sexo e foto de perfil são opcionais. A senha é guardada apenas como um código embaralhado, que não permite ler a senha original. A conta só é criada depois que você confirma o e-mail pelo link que o Tramitou envia. Se você não confirmar, nenhum dado do formulário fica guardado.
• CPF: o número não é guardado. O Tramitou guarda só um código calculado a partir dele com uma chave secreta do servidor (HMAC-SHA256). Sem essa chave, o código não permite descobrir o CPF. Ele serve apenas para saber se o CPF já tem uma conta ou já usou o teste grátis. O mesmo vale para a forma do e-mail sem pontos e sem “+” em provedores como o Gmail, usada para reconhecer a mesma caixa de entrada escrita de outro jeito.
• Conferência do e-mail: no cadastro, o Tramitou recusa endereços de serviços de e-mail temporário e consulta no DNS público se o domínio do e-mail recebe mensagens. Só o domínio é consultado (por exemplo, “gmail.com”), nunca o endereço completo.
• Jornadas: as jornadas que você inicia, as respostas às perguntas de cada etapa, os itens que marca como feitos e, se você cancelar uma jornada, o motivo que escrever.
• Prazos e obrigações: os títulos, as datas e as observações que você registra e as obrigações que escolhe acompanhar.
• Cofre de documentos: os arquivos que você envia e os dados que informa sobre eles, como nome, tipo, emissor, data de emissão e validade. O Tramitou guarda também o nome original do arquivo, o tamanho e um código de conferência de integridade.
• Veículos: placa, apelido, marca, modelo, ano e estado de registro. O RENAVAM é opcional. Os resultados das consultas que você registra, como multas, recall ou restrições, ficam marcados como informados por você.
• Assistente: as perguntas que você faz, as respostas recebidas e as avaliações que você dá às respostas.
• Verificador de golpes: o texto e as imagens que você envia são usados só durante a análise e não ficam guardados. O Tramitou guarda apenas o resultado: os sinais encontrados, o nível de atenção, a data, o canal informado e a quantidade de imagens. Quando o texto traz o endereço de um site, o Tramitou consulta o nome desse site em registros públicos de domínios, para mostrar quando e por quem ele foi registrado. O resultado dessa consulta aparece na tela e não fica guardado na sua conta.

Assinatura e pagamento

• No Tramitou: o plano escolhido, a forma de pagamento (cartão ou Pix), as datas e os valores das cobranças, a situação de cada uma e os links do comprovante e da página de pagamento.
• Na instituição de pagamento: no Pix, ao assinar pela primeira vez, o nome e o CPF de quem paga e o seu e-mail são repassados pelo Tramitou, sem ficar guardados nele, à instituição de pagamento indicada na seção 7, que os usa para emitir a cobrança e a nota fiscal. No cartão, o CPF, o endereço e os dados do cartão são informados na página da própria instituição e não passam pelo Tramitou. Na troca de cartão, o cartão novo também é informado na página da instituição. O Tramitou não guarda o número do CPF.

Dados gerados pelo uso

• Acesso e segurança: data e hora de acesso, endereço IP, navegador e sistema do aparelho, sessões abertas e tentativas de entrada sem sucesso.
• Registro de ações: uma trilha das operações relevantes feitas na conta, como enviar ou apagar um documento, com data e hora. Em alguns casos o registro inclui o nome do arquivo.
• Aceite dos documentos legais: a versão aceita, a data, o endereço IP e o navegador usados no aceite.
• Autorização para a inteligência artificial: se você autorizou ou recusou o envio de dados ao fornecedor de inteligência artificial, a versão do texto que você viu, a data, o endereço IP e o navegador usados.
• Autorização do cofre: a versão do aviso que você leu antes do primeiro envio de documento, a data, o endereço IP e o navegador usados.
• Avisos: as notificações geradas para você, as suas preferências e o registro de envio de cada e-mail de lembrete, de assinatura e de cobrança (o assunto, se foi enviado e quando; o texto do e-mail não fica guardado).
• Busca de jornadas: o que você escreve em “O que você precisa resolver?” é usado para encontrar a jornada e não fica guardado. O Tramitou registra só o assunto identificado e a jornada sugerida.

O que o Tramitou não coleta

• O Tramitou não guarda o número do CPF e não recebe dados de cartão nem de conta bancária. Por isso, o CPF de quem paga é pedido de novo ao assinar com Pix e é repassado à instituição de pagamento; no cartão, ele é informado na página da própria instituição.
• O Tramitou não acessa a sua conta gov.br nem portais de órgãos públicos em seu nome.
• O Tramitou não coleta a localização do aparelho nem a sua lista de contatos.
• O Tramitou não lê o conteúdo dos arquivos do cofre. No momento do envio, uma verificação automática feita no próprio servidor confere o tipo do arquivo, recusa PDFs com recursos que agem sozinhos e procura vírus com um antivírus. Ninguém da equipe vê o conteúdo, e o arquivo não é enviado para fora do Tramitou nessa verificação.

3. Para que usamos os dados e com qual base legal

• Criar a conta e prestar o serviço (jornadas, prazos, cofre, veículos, Assistente e Verificador de golpes): execução do contrato com você, formado pelos Termos de Uso (LGPD, art. 7º, V).
• Enviar ao fornecedor de inteligência artificial, fora do Brasil, os dados do Assistente e do Verificador de golpes descritos na seção 5: o seu consentimento específico, dado numa tela própria antes do primeiro uso (art. 33, VIII).
• Enviar e-mails necessários ao serviço, como a confirmação do cadastro e a redefinição de senha: execução do contrato (art. 7º, V).
• Enviar por e-mail lembretes e alertas sobre os seus prazos e jornadas: fazem parte do serviço (art. 7º, V). Você pode desligar esses e-mails quando quiser, no primeiro acesso ou em Notificações.
• Cobrar a assinatura, enviar o comprovante e avisar sobre o fim do teste grátis, a renovação do plano anual, a cobrança Pix disponível, o dia do vencimento e pagamentos em aberto: execução do contrato (art. 7º, V). Esses avisos são enviados pelo próprio Tramitou; os avisos automáticos da instituição de pagamento ficam desligados.
• Guardar os registros das cobranças e emitir a nota fiscal: cumprimento de obrigação legal tributária (art. 7º, II).
• Guardar os registros de acesso (data, hora e IP): cumprimento de obrigação legal (art. 7º, II, e Marco Civil da Internet, art. 15).
• Proteger a conta e prevenir fraudes, com bloqueio temporário após várias tentativas de entrada e registro de ações: legítimo interesse em manter o serviço seguro (art. 7º, IX).
• Garantir uma conta e um teste grátis por pessoa, com o código do CPF, o celular e o e-mail únicos por conta, e evitar cadastros com e-mail temporário ou que não recebe mensagens: legítimo interesse em prevenir fraudes e o uso repetido do teste grátis (art. 7º, IX, e art. 10). Para isso, o Tramitou guarda o mínimo: o código, nunca o número do CPF. Se alguém tentar se cadastrar com o seu CPF ou o seu celular, você recebe um aviso por e-mail (no máximo um por dia), sem os dados de quem tentou.
• Atender você e cuidar da sua assinatura, quando você pede ajuda ou quando um pagamento precisa de conferência: a equipe consulta a ficha descrita na seção 12, com o motivo registrado. Base legal: execução do contrato (art. 7º, V) e legítimo interesse em manter o serviço seguro (art. 7º, IX).
• Guardar a prova do aceite dos documentos legais e responder a reclamações e processos: exercício regular de direitos (art. 7º, VI).
• Melhorar o produto: o Tramitou usa números agregados, como quantas jornadas foram iniciadas ou concluídas, que não identificam você. Base legal: legítimo interesse (art. 7º, IX).

O Tramitou não usa os seus dados para publicidade de terceiros nem monta perfis para vender a outras empresas. O convite da assessoria para o visto (seção 6) é um serviço da própria MB Solutions Ltda., mostrado a todos na jornada do visto, sem uso do seu perfil.

4. Documentos, dados sensíveis e dados de outras pessoas

Você decide o que guarda no cofre. Alguns documentos podem trazer dados sensíveis, como informações de saúde ou biometria. O Tramitou apenas armazena esses arquivos a seu pedido, com base no seu consentimento específico, que você dá num aviso destacado antes do primeiro envio ao cofre e pode retirar a qualquer momento apagando o documento (LGPD, art. 11, I). Se o documento for de um filho ou de outra pessoa sob a sua responsabilidade, você declara nesse aviso que é mãe, pai ou responsável (LGPD, art. 14, § 1º).

Alguns documentos e informações podem ser de outras pessoas, como a certidão de um filho, os dados do comprador de um veículo ou de um empregado doméstico. Guarde no Tramitou apenas dados de terceiros que você tem direito de usar. O Tramitou trata esses dados só para guardar e exibir o conteúdo para você.

5. Inteligência artificial

O Assistente e o Verificador de golpes usam um serviço de inteligência artificial fornecido por OpenAI OpCo, LLC, com processamento em Estados Unidos. Antes do primeiro uso, o Tramitou pede a sua autorização para esse envio, numa tela própria e separada do aceite desta política. Sem ela, nada é enviado ao fornecedor: o Assistente fica desligado e o Verificador de golpes usa só as regras do Tramitou, sem ler imagens. Você pode retirar a autorização a qualquer momento em Perfil > Privacidade, e o restante do Tramitou continua igual.

• O que o Assistente envia: a sua pergunta, as mensagens recentes da conversa, o andamento da jornada e os dados de cadastro dos seus documentos (nome, tipo, emissor, validade e a que jornada ou veículo estão ligados). Se você escrever um CPF ou um número de cartão na conversa, o número é trocado por um aviso antes de ser guardado e enviado.
• O que o Verificador de golpes envia: o texto e as imagens que você enviar para análise e o canal que você informar.
• O que não é enviado: o conteúdo dos arquivos do cofre e a sua senha. O nome, o e-mail e o celular do cadastro também não são enviados, a menos que você os escreva na pergunta ou eles apareçam no conteúdo que você enviar. O código do CPF nunca é enviado.

O fornecedor trata esses dados em nome do Tramitou, apenas para gerar a resposta. Pelas condições do fornecedor, os dados não são usados para treinar os modelos dele e ficam guardados, em regra, por até 30 dias para prevenir abusos. O fornecedor pode guardar por mais tempo quando a lei exigir ou quando for necessário para proteger o serviço ou outras pessoas de danos. Evite escrever na pergunta dados que não são necessários, como CPF, senhas ou números de cartão.

As respostas do Assistente se baseiam no conteúdo publicado pelo Tramitou e podem conter erros. O Verificador de golpes aponta sinais conhecidos e não afirma se um contato é verdadeiro ou falso. Nenhuma decisão que afete os seus direitos é tomada de forma automática por esses recursos. Se você entender que foi afetado por uma decisão automatizada, pode pedir a revisão pelo canal da seção 1 (LGPD, art. 20).

6. Assessoria para o visto americano

Na jornada do visto americano de turismo, o Tramitou mostra a todos que abrem a jornada um convite para a assessoria paga da MB Solutions Ltda., a mesma empresa que oferece o Tramitou. O convite é igual para todos: ele não depende do seu perfil nem de outros dados seus.

• O Tramitou não envia os seus dados à assessoria. O botão do convite abre uma mensagem de e-mail para contato@tramitou.com.br, e você decide se envia e o que conta nela.
• Se você escrever: o seu nome, o seu e-mail e o que você contar na mensagem são usados para responder e preparar uma proposta, a seu pedido (procedimentos preliminares a um contrato, art. 7º, V).
• Se você contratar: os dados necessários ao pedido do visto, como os do passaporte, da viagem e do trabalho, são tratados para prestar a assessoria (execução do contrato, art. 7º, V). Se o pedido exigir dados sensíveis, como as respostas sobre saúde do formulário DS-160, eles só são tratados com o seu consentimento específico (art. 11, I). O pedido do visto é enviado ao governo dos EUA, fora do Brasil, porque isso é necessário para o serviço que você contratou (art. 33, IX).
• Separação: os dados da assessoria ficam fora da sua conta do Tramitou e não são usados nas jornadas, no Assistente nem em outros recursos do Tramitou.
• Por quanto tempo: as mensagens sem contratação, pelo tempo necessário para responder você; os dados da assessoria contratada, pelo tempo do serviço e, depois, por 5 anos, o prazo para pedir reparação por defeito do serviço (Código de Defesa do Consumidor, art. 27), e pelo prazo fiscal dos registros de cobrança.

7. Com quem compartilhamos

• Hospedagem, banco de dados e arquivos: Hostinger International Ltd. (Chipre), com o servidor no Brasil.
• Envio de e-mails: LWSA S/A (Locaweb), no Brasil.
• Pagamentos: Asaas Gestão Financeira Instituição de Pagamento S.A. (CNPJ 19.540.550/0001-21), no Brasil. Recebe o nome, o e-mail e o CPF de quem paga e o valor de cada cobrança (no cartão, também o endereço, o telefone e os dados do cartão, digitados na página dela), para cobrar a assinatura e emitir o comprovante e a nota fiscal. Como instituição de pagamento, ela também trata esses dados para cumprir as obrigações próprias dela, conforme a política de privacidade dela.
• Inteligência artificial: OpenAI OpCo, LLC (Estados Unidos), nos termos da seção 5.
• Registros de domínios: o Registro.br e os registros de outros países indicados pela IANA recebem apenas o nome do site que aparece em uma mensagem enviada ao Verificador de golpes. Nenhum dado seu e nenhuma parte da mensagem são enviados.
• Listas públicas: o Tramitou copia uma vez por dia a lista “Evite esses sites”, do Procon-SP, e o cadastro de instituições do Banco Central, e compara com elas o endereço do site e o CNPJ do titular. A comparação acontece dentro do Tramitou: nada é enviado a esses órgãos.
• Autoridades públicas: quando a lei ou uma ordem judicial exigir.
• Sucessão da empresa: se o Tramitou passar a ser operado por outra empresa, por venda, fusão ou reorganização, os dados acompanham o serviço. Você será avisado antes, e esta política continua valendo.

Esses fornecedores atuam em nome do Tramitou, seguem as instruções do Tramitou e só recebem os dados necessários para a tarefa de cada um. O Tramitou não vende dados pessoais.

8. Transferência internacional de dados

O uso do Assistente e do Verificador de golpes envolve o envio dos dados descritos na seção 5 para Estados Unidos. Esse envio é feito com o seu consentimento específico e em destaque, dado numa tela própria antes do primeiro uso, que informa que os dados vão para fora do Brasil e para quem (LGPD, art. 33, VIII). As leis de proteção de dados de outro país podem ser diferentes das brasileiras. Se você retirar o consentimento em Perfil > Privacidade, nada mais é enviado ao fornecedor.

Se você contratar a assessoria para o visto americano, o pedido do visto, com os dados necessários, é enviado ao governo dos EUA, porque isso é necessário para o serviço que você contratou (art. 33, IX), como descreve a seção 6.

Os demais fornecedores da seção 7 tratam os dados no país indicado para cada um. Se algum deles passar a tratar dados fora do Brasil, esta política será atualizada antes, com a garantia usada.

9. Por quanto tempo guardamos

• Dados da conta e do uso: enquanto a sua conta existir.
• Documentos que você apaga: o arquivo é removido do armazenamento no momento da exclusão. O registro do documento, com nome, tipo e datas, é eliminado em até 30 dias.
• Conversas com o Assistente que você apaga: eliminadas em até 30 dias.
• Códigos de redefinição de senha: eliminados em até 7 dias depois de usados ou vencidos.
• Registros de envio de e-mail: 180 dias.
• Pedidos de cópia dos dados e de exclusão já encerrados: 365 dias.
• Registros de acesso (data, hora e IP de cada sessão): 6 meses depois de a sessão terminar, que é o prazo de guarda exigido pelo Marco Civil da Internet (art. 15).
• Registros das cobranças (plano, valores, datas e situação): 5 anos depois do vencimento, prazo em que o fisco pode cobrar ou revisar tributos (Código Tributário Nacional, arts. 173 e 174). Se você excluir a conta antes disso, os registros continuam guardados pelo mesmo prazo, sem o vínculo com a conta.
• Código do CPF de uma conta excluída: 2 anos depois da exclusão, só para que o teste grátis não recomece com o mesmo CPF. O código fica separado de qualquer outro dado da conta.
• Assessoria para o visto americano: como descreve a seção 6.
• Cópias de segurança: guardadas por até 30 dias e depois apagadas.

Quando você exclui a conta

O pedido fica pendente por 7 dias, período em que você pode cancelar. Depois disso, a assinatura é cancelada na instituição de pagamento, para que nenhuma nova cobrança seja feita, e os seus documentos, jornadas, veículos, prazos, obrigações, conversas, avisos e resultados de verificação são apagados, e o cadastro é anonimizado: o nome, o e-mail, o celular, o código do CPF e os demais dados do perfil deixam de existir na conta. O CPF e o e-mail ficam livres para um novo cadastro.

Depois da exclusão, permanecem apenas:

• por 5 anos depois da exclusão: o registro de que os documentos legais foram aceitos, das suas decisões sobre o envio à inteligência artificial e da autorização do cofre, sem IP e sem navegador, e a trilha de ações da conta, com data e tipo de ação, sem detalhes pessoais. É o prazo para pedir reparação por defeito do serviço (Código de Defesa do Consumidor, art. 27); depois, esses registros são apagados;
• os registros das cobranças já feitas, sem o vínculo com a conta, pelo prazo fiscal;
• o código do CPF, separado de qualquer outro dado, por 2 anos, para indicar que o teste grátis já foi usado;
• os registros de acesso, pelo prazo legal de 6 meses, e as cópias de segurança, pelo prazo indicado acima.

10. Cookies e armazenamento no navegador

O Tramitou usa somente cookies necessários para manter você conectado com segurança. Eles não podem ser lidos por outros sites nem por programas da página. O navegador também guarda a sua preferência de tema, o rascunho de uma mensagem ao Assistente e a indicação de que o tutorial já foi exibido.

O Tramitou não usa cookies de publicidade nem ferramentas de rastreamento de outras empresas. Por isso, não há aviso de cookies para aceitar.

11. Seus direitos

A LGPD (art. 18) garante a você os seguintes direitos:

• Confirmar e acessar: saber se o Tramitou trata os seus dados e baixar uma cópia, em Perfil > Privacidade.
• Corrigir: atualizar os dados do cadastro, em Perfil.
• Levar os dados com você (portabilidade): a cópia é entregue em formato aberto.
• Eliminar: apagar documentos, conversas, veículos e prazos a qualquer momento, ou pedir a exclusão da conta, em Perfil > Privacidade.
• Retirar o consentimento: apagar do cofre os documentos que você enviou e retirar a autorização de envio à inteligência artificial, em Perfil > Privacidade. Os e-mails de lembrete podem ser desligados em Notificações.
• Saber com quem os dados são compartilhados e pedir a anonimização ou o bloqueio de dados desnecessários ou excessivos.
• Opor-se a um tratamento que você considere irregular e pedir a revisão de decisões automatizadas.

Para os pedidos que não podem ser feitos direto no Tramitou, escreva para privacidade@tramitou.com.br. O Tramitou responde em até 15 dias e pode pedir uma confirmação de identidade para proteger a sua conta. Você também pode apresentar uma reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

12. Segurança

• A conexão com o Tramitou é criptografada.
• A senha é guardada apenas como código embaralhado.
• A conta é bloqueada por alguns minutos depois de várias tentativas de entrada sem sucesso.
• Você vê as sessões abertas em Perfil > Dispositivos e pode encerrar qualquer uma.
• Os arquivos do cofre passam por um antivírus no envio, são guardados criptografados, em armazenamento privado, e cada download usa um link temporário. As cópias de segurança também são criptografadas.
• O acesso interno é restrito a pessoas autorizadas da equipe. Para atender você, a ferramenta de atendimento mostra o nome, o e-mail, o estado, o município, a situação da conta, os 4 últimos dígitos do celular, a assinatura e as cobranças, os e-mails de assinatura e de cobrança enviados (assunto e data) e os acessos recentes (data, hora, endereço IP e o tipo de aparelho, como “Chrome no Windows”). Cada consulta exige um motivo e fica registrada, e as ações da equipe na sua assinatura também. A ferramenta nunca mostra o CPF e não abre os arquivos do cofre nem as conversas com o Assistente.
• Senhas e o conteúdo dos documentos não são gravados em registros técnicos.

Nenhum sistema é totalmente imune a falhas. Se ocorrer um incidente de segurança que possa causar risco ou dano relevante a você, o Tramitou avisará você e a ANPD, como determina a LGPD (art. 48).

13. Crianças e adolescentes

O Tramitou é destinado a pessoas com 18 anos ou mais e não aceita o cadastro de crianças e adolescentes. Se o Tramitou souber que uma conta foi criada por alguém com menos de 18 anos, a conta será encerrada e os dados serão apagados. Documentos de filhos menores guardados pelos pais ou responsáveis seguem a seção 4.

14. Mudanças nesta política

Quando esta política mudar de forma relevante, o Tramitou publicará uma nova versão, avisará você dentro do aplicativo e pedirá um novo aceite antes de você usar os recursos que dependem da mudança. As versões anteriores podem ser solicitadas pelo canal da seção 1.

15. Contato

Dúvidas sobre esta política ou sobre os seus dados: privacidade@tramitou.com.br. Atendimento geral: contato@tramitou.com.br.