1. Controlador dos dados
O controlador dos dados pessoais tratados nesta plataforma é XR LABS SERVIÇOS ADMINISTRATIVOS, inscrita no CNPJ sob o nº 51.077.638/0001-61 (Inscrição Estadual: isento), com sede em Laguna/SC.
Em caso de dúvidas sobre o tratamento dos seus dados, fale conosco pelos canais indicados na seção 11 desta política.
O endereço completo da sede é fornecido mediante solicitação ao Encarregado, dpo@spresenter.com, ou consulta ao cadastro nacional da Receita Federal pelo CNPJ acima.
2. Encarregado de Proteção de Dados (DPO)
Nosso Encarregado pelo Tratamento de Dados Pessoais é Chrystian Farias. Para assuntos de privacidade e exercício de direitos LGPD, escreva para dpo@spresenter.com. Para contato geral e suporte: contato@spresenter.com. O Encarregado é o canal de comunicação entre você, o controlador e a Autoridade Nacional de Proteção de Dados (ANPD).
3. Dados pessoais que coletamos
Dados de cadastro e autenticação: nome, e-mail, telefone (opcional), senha (armazenada de forma criptografada com hash bcrypt), avatar e, quando você opta por login social, identificador e nome retornados pelo provedor (Google).
Dados de uso do produto: workspaces aos quais você pertence, eventos e auditórios configurados, registros de acesso (logs de aplicação), endereço IP, user-agent e horário das requisições.
Dados do aplicativo desktop (Spresenter Desktop): identificador da máquina (machineId), hostname, sistema operacional e versão do aplicativo. Esses dados são necessários para o controle de licenciamento por assento (seat).
Dados de pagamento: o processamento de cartões e cobranças é feito integralmente pela Stripe. O Spresenter armazena apenas os identificadores de cliente e assinatura retornados pela Stripe (stripeCustomerId, stripeSubscriptionId, status da assinatura) - nunca recebemos ou armazenamos números de cartão, CVV ou dados bancários.
4. Finalidades e bases legais do tratamento
Execução de contrato (Art. 7º, V LGPD): criar e manter sua conta, autenticar o acesso, prover as funcionalidades contratadas, controlar licenças e assentos, processar pagamentos e cobrança via Stripe.
Cumprimento de obrigação legal ou regulatória (Art. 7º, II LGPD): emissão de documentos fiscais, atendimento a obrigações trabalhistas, contábeis e tributárias e atendimento a requisições de autoridades competentes.
Legítimo interesse (Art. 7º, IX LGPD): prevenção de fraudes, manutenção da segurança e da estabilidade da plataforma, monitoramento e auditoria de operações e atendimento ao cliente.
Consentimento (Art. 7º, I LGPD): envio de comunicações de marketing, novidades e ofertas - somente quando você opta expressamente por recebê-las. Você pode retirar esse consentimento a qualquer momento.
5. Compartilhamento com terceiros (operadores e sub-operadores)
Não vendemos seus dados pessoais. Compartilhamos somente com prestadores estritamente necessários à operação do serviço, sob obrigações contratuais de confidencialidade e proteção:
Stripe, Inc. (Estados Unidos) - processamento de pagamentos, emissão de cobranças e gestão de assinaturas. Recebe dados de identificação (e-mail), dados de cobrança e dados de cartão (fornecidos diretamente à Stripe pelo usuário).
Resend, Inc. (Estados Unidos) - envio de e-mails transacionais (verificação de e-mail, recuperação de senha, notificações operacionais). Recebe e-mail, nome e o conteúdo da mensagem.
Google LLC (Estados Unidos) - autenticação social via Google OAuth, quando você opta por essa forma de login. Recebe e devolve apenas os escopos necessários para identificação.
Hostinger International Ltd. - hospedagem da infraestrutura (servidor de aplicação e banco de dados). Armazena dados em repouso em servidores localizados no Brasil.
6. Retenção dos dados
Mantemos seus dados pelo tempo necessário ao cumprimento das finalidades descritas, observados os prazos legais aplicáveis:
Dados de conta ativa: enquanto a conta existir.
Dados de ativação de máquina desativada (MachineActivation com status DEACTIVATED): até 180 dias após a desativação.
Logs de webhook de pagamento (StripeWebhookEvent): até 90 dias após o processamento.
Dados de cobrança e financeiros: por 5 anos após o encerramento da relação contratual, em atendimento à legislação fiscal (Lei 8.846/1994 e Código Tributário Nacional).
Logs de aplicação: até 90 dias.
Após a exclusão da conta a pedido do titular, os dados pessoais são apagados ou anonimizados, exceto aqueles cuja retenção é obrigatória por lei (fiscal, contábil), os quais permanecem em ambiente segregado, com acesso restrito, até o término do prazo legal.
7. Transferência internacional de dados
Alguns dos nossos operadores (Stripe, Resend, Google) estão localizados nos Estados Unidos. As transferências internacionais ocorrem com base no Art. 33 da LGPD, mediante cláusulas contratuais específicas e padrões de proteção equivalentes aos exigidos pela legislação brasileira. Você pode solicitar mais informações sobre essas salvaguardas pelo canal indicado na seção 11.
8. Seus direitos como titular
Nos termos do Art. 18 da LGPD, você pode, a qualquer tempo, exercer os seguintes direitos:
Confirmação da existência de tratamento; acesso aos dados; correção de dados incompletos, inexatos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD; portabilidade dos dados a outro fornecedor; eliminação dos dados tratados com base no seu consentimento; informação sobre as entidades públicas e privadas com as quais o controlador compartilha dados; informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa; revogação do consentimento.
Para exercer qualquer desses direitos, envie sua solicitação para dpo@spresenter.com. Responderemos em até 15 dias, conforme o Art. 19 da LGPD.
9. Medidas de segurança
Adotamos medidas técnicas e administrativas para proteger seus dados contra acessos não autorizados, perda, alteração ou destruição. Isso inclui: criptografia em trânsito (TLS/HTTPS); armazenamento de senhas com hash bcrypt; controles de acesso baseados em perfis (RBAC); rate limiting em endpoints sensíveis; validação rigorosa de entrada; isolamento de redes; backups periódicos; e registros de auditoria com mascaramento de PII.
10. Crianças e adolescentes
O Spresenter não se destina a crianças e adolescentes menores de 18 anos. Não coletamos intencionalmente dados pessoais de menores. Caso tomemos conhecimento de que dados de menores foram coletados sem o consentimento específico de um dos pais ou responsável legal, eles serão eliminados.
11. Canal de contato
Para exercer seus direitos, fazer denúncias ou esclarecer dúvidas sobre esta política, escreva para dpo@spresenter.com. Você também pode peticionar diretamente à Autoridade Nacional de Proteção de Dados (ANPD) caso entenda que houve violação à LGPD.
12. Atualizações desta política
Esta Política de Privacidade pode ser atualizada para refletir mudanças na legislação, no serviço ou nas nossas práticas. Quando a mudança for material, solicitaremos novo aceite no próximo acesso. A versão vigente está sempre disponível nesta página, com a respectiva data de vigência.