Politica de Privacidade Controled

Última atualização: 17 de maio de 2026

Versão: 1.2.0

1. Introdução

A Controled ("nós", "nosso" ou "Operador", na qualidade de operador de tratamento de dados pessoais de clientes corporativos) está comprometida em proteger a privacidade dos usuários de sua plataforma de gestão de mídia digital out-of-home (OOH). Esta Política de Privacidade descreve como coletamos, usamos, armazenamos e protegemos seus dados pessoais, em conformidade com a Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018) e com as Resoluções aplicáveis da Autoridade Nacional de Proteção de Dados (ANPD), em especial a Resolução CD/ANPD nº 15/2024 (Comunicação de Incidentes) e a Resolução CD/ANPD nº 19/2024 (Transferência Internacional de Dados).

2. Dados Pessoais Coletados

2.1. Dados de Cadastro

• Nome completo

• Endereço de e-mail

• Número de telefone

• CNPJ (para pessoas jurídicas)

• Razão social e nome fantasia

• Endereço comercial completo

2.2. Dados de Acesso e Autenticação

• E-mail e senha (criptografada com bcrypt)

• Fator de autenticação multifator TOTP (configurado pelo usuário)

• Endereço IP da requisição

• User-Agent (navegador e sistema operacional)

• Data e hora de acesso e de eventos relevantes (login, MFA, alteração de senha)

• Tokens de sessão e refresh (armazenados como cookies HttpOnly)

2.3. Dados de Operação

• Logs de ações realizadas no sistema (audit trail)

• Arquivos de mídia enviados (vídeos, imagens) e respectivos hashes SHA-256

• Configurações de telas e players (resolução, horários, sequências)

• Logs de exibição (timestamps, identificadores de tela e cliente, identificadores de mídia)

• Comprovantes de pagamento manual (PIX, transferência, boleto) enviados voluntariamente pelo cliente

2.4. Dados de Comunicação

• Número WhatsApp do administrador da organização (cadastro opcional; opt-in para receber alertas operacionais)

• Conteúdo das comunicações enviadas via e-mail transacional (recibos, notificações)

2.5. Dados de Cobrança

• E-mail do pagador no Mercado Pago

• Identificador de preapproval (assinatura recorrente)

• Registros de pagamento (data, valor, método)

• Não armazenamos dados de cartão de crédito — processados diretamente pelo Mercado Pago em ambiente PCI-DSS compliant.

2.6. Dados de Aceite Contratual

Quando você aceita digitalmente um contrato (Termos de Uso, Política de Privacidade ou Contrato de Serviços, incluindo o Anexo I do MSA — DPA), registramos, para fins de prova jurídica nos termos da Lei nº 14.063/2020 e da Medida Provisória nº 2.200-2/2001:

• Identificador único do usuário

• Endereço IP da requisição

• User-Agent do navegador

• Data e horário (timestamp)

• SHA-256 do conteúdo aceito (garantia de integridade)

• Snapshot das variáveis aplicadas ao contrato (para reprodução fiel do texto exibido no momento do aceite)

• Declaração expressa de poderes de representação do aceitante

3. Finalidades do Tratamento

4. Compartilhamento de Dados — Suboperadores

Para prestar os serviços, compartilhamos dados estritamente necessários com os seguintes suboperadores (LGPD art. 5º, VII):

A lista atualizada está disponível publicamente em /legal/subprocessadores. Alterações materiais (inclusão ou substituição de suboperador) são comunicadas com antecedência mínima de 30 (trinta) dias via e-mail à organização cliente e atualização da URL acima, conforme cláusula 5 do DPA (Anexo I do MSA).

5. Seus Direitos (Art. 18 da LGPD)

Como titular de dados, você tem direito a:

• Confirmação e Acesso — confirmar a existência de tratamento e acessar seus dados;

• Correção — solicitar correção de dados incompletos, inexatos ou desatualizados;

• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;

• Portabilidade dos dados a outro fornecedor de serviço;

• Eliminação de dados tratados com base no consentimento;

• Informação sobre entidades públicas e privadas com as quais a Controled compartilhou seus dados;

• Revogação do consentimento, quando aplicável;

• Oposição ao tratamento quando realizado com base em legítimo interesse.

Para exercer seus direitos, envie solicitação para [email protected] ou utilize o formulário em /legal/exclusao. Responderemos em até 15 (quinze) dias.

6. Segurança dos Dados

Adotamos medidas técnicas e administrativas razoáveis e proporcionais para proteger seus dados:

• Criptografia em trânsito (TLS 1.2+) em todas as conexões;

• Senhas armazenadas como hash bcrypt (nunca em texto claro);

• Autenticação multifator (MFA TOTP) disponível para todos os usuários;

• Controle de acesso baseado em funções (RBAC) e Row Level Security (RLS) em todas as tabelas de negócio;

• Vault Supabase para armazenamento criptografado de segredos de integração;

• HMAC para validação de webhooks externos (Mercado Pago);

• Logs de auditoria para rastreamento de ações administrativas e de cliente;

• Isolamento de dados por organização (multi-tenant);

• Cold archive de logs antigos em DigitalOcean Spaces com criptografia em repouso (SSE);

• Rate limiting e detecção de padrões suspeitos em endpoints públicos;

• Testes regulares de recuperação e backups gerenciados pela Supabase (Point-in-Time Recovery).

6.1. Comunicação de Incidentes de Segurança

Em conformidade com a Resolução CD/ANPD nº 15/2024, na ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a Controled comunicará o(s) cliente(s) corporativo(s) afetado(s) (na qualidade de controladores) em até 48 (quarenta e oito) horas a partir do conhecimento, com as informações necessárias para que estes possam notificar a ANPD e os titulares no prazo de 3 (três) dias úteis previsto na Resolução.

7. Retenção de Dados

Mantemos seus dados pelo tempo necessário para cumprir as finalidades para as quais foram coletados, observando as obrigações legais:

Após o término dos períodos, os dados são eliminados ou anonimizados, ressalvadas obrigações legais de retenção mais longa.

8. Transferência Internacional de Dados

O tratamento principal ocorre em servidores Supabase na região sa-east-1 (Brasil). Determinados suboperadores realizam tratamento fora do território brasileiro, conforme tabela da seção 4 acima.

Em conformidade com o art. 33 da LGPD (Lei nº 13.709/2018) e com a Resolução CD/ANPD nº 19, de 23 de agosto de 2024 (Regulamento de Transferência Internacional de Dados), a adequação dessas transferências internacionais é assegurada pelas seguintes vias, conforme aplicável a cada suboperador:

• Cláusulas-Padrão Contratuais (CPCs) aprovadas pela ANPD no Anexo II da Resolução nº 19/2024, integradas aos contratos celebrados com cada suboperador internacional;

• Cláusulas contratuais específicas equivalentes, quando aplicável e mediante avaliação documentada e auditável da Controled.

Esclarecemos que, até a presente data, a ANPD não reconheceu as Cláusulas Contratuais Padrão da União Europeia (SCCs UE) como equivalentes às CPCs LGPD, motivo pelo qual a Controled adota as CPCs do Anexo II da Resolução nº 19/2024 ou cláusulas específicas equivalentes como base contratual de transferência.

Cópias dos instrumentos contratuais e respectivas garantias estão disponíveis a titulares interessados mediante requisição motivada ao DPO ([email protected]), preservados sigilos comerciais legítimos.

9. Encarregado de Proteção de Dados (DPO)

Para questões relacionadas à proteção de dados pessoais, contate o Encarregado:

E-mail: [email protected]

10. Alterações nesta Política

Esta Política pode ser atualizada periodicamente. Alterações materiais serão comunicadas com pelo menos 7 (sete) dias de antecedência via e-mail cadastrado e exigirão novo aceite na plataforma. Versões anteriores ficam preservadas para consulta histórica. Alterações exclusivamente na lista de suboperadores seguem o prazo específico de 30 (trinta) dias previsto na seção 4 e na cláusula 5 do DPA.

11. Relação com o DPA (Anexo I do MSA)

Quando a Controled atua como Operadora de dados pessoais de clientes corporativos, o tratamento é regulado pelo Anexo I do Contrato de Prestação de Serviços (DPA), parte integrante e indissociável do MSA. Esta Política de Privacidade descreve, complementarmente, as práticas gerais aplicáveis a titulares e visitantes, em linguagem acessível ao titular nos termos do art. 9º da LGPD.

12. Contato

Para dúvidas, solicitações ou reclamações sobre tratamento de dados pessoais:

Privacidade: [email protected]
DPO: [email protected]
Suboperadores: /legal/subprocessadores
Formulário de exclusão: /legal/exclusao

Esta Política de Privacidade foi elaborada em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018), com a Resolução CD/ANPD nº 15/2024 e com a Resolução CD/ANPD nº 19/2024.