Sumário em uma frase

Tratamos apenas o mínimo necessário para você usar o FDS Intelligence (autenticação + análises submetidas), armazenamos senhas como hash bcrypt, nunca vendemos dados e atendemos direitos do titular em até 15 dias.

1. Quem é o controlador

O controlador dos dados é o CENTRO DE EXTENSÃO E PESQUISA ABRITTA LTDA. ("CEPEA"), CNPJ 54.304.147/0001-02, operador do FDS Intelligence (https://fds.cepea.org).

2. Que dados tratamos

2.1. Dados do USUÁRIO (profissional cadastrado)

• Nome completo, e-mail, CPF (opcional) — usados para identificação;
• Senha — armazenada como hash bcrypt (cost 12, salt único). Nunca em texto puro;
• Tipo de habilitação profissional declarada;
• Logs de acesso: IP, user-agent, data e hora;
• Histórico de análises realizadas (CAS consultados, FDS submetidas, laudos gerados).

2.2. Dados de FDS submetidas pelo USUÁRIO

• Arquivo PDF/imagem/texto da FDS;
• Nome do produto químico, fabricante, fornecedor (se presentes na FDS);
• Números CAS e EC identificados pelo OCR;
• Composição e concentrações declaradas na Seção 3 da FDS.

Importante: as FDS submetidas pelo USUÁRIO podem conter informações industriais sensíveis (formulações, fornecedores, concentrações). Tratamos esse conteúdo com confidencialidade comercial estrita: não compartilhamos, não alimentamos base pública, não usamos para treinar modelos comerciais, não vendemos.

3. Bases legais aplicáveis

• Execução de contrato (LGPD art. 7º V) — necessário para a prestação do serviço SaaS;
• Cumprimento de obrigação legal (art. 7º II) — quando o USUÁRIO usa o laudo gerado para fins de eSocial S-2240, NR-15 ou PPRA/PGR;
• Legítimo interesse (art. 7º IX) — logs de segurança, detecção de fraude, prevenção de scraping;
• Consentimento (art. 7º I) — para envio de comunicações de produto (opt-in opcional).

4. Por quanto tempo guardamos

5. Com quem compartilhamos

Apenas com subprocessadores estritamente necessários para entregar o serviço:

• Amazon Web Services (AWS Lightsail, São Paulo): hospedagem do backend e banco PostgreSQL;
• Cloudflare, Inc.: CDN e túnel de roteamento (transferência internacional possível, com cláusulas padrão);
• Mercado Pago: processamento de pagamentos. Dados de cartão nunca trafegam pelos nossos servidores;
• PubChem (NIH/NCBI): consulta pública de identificadores químicos (apenas envio de CAS para resolução de sinônimos e EC; nenhum dado do USUÁRIO é enviado).

Não vendemos, alugamos ou compartilhamos dados para fins de marketing.

6. Direitos do titular (LGPD art. 18)

Você pode solicitar a qualquer momento:

• Confirmação da existência de tratamento;
• Acesso aos dados;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
• Portabilidade dos dados a outro fornecedor de serviço;
• Eliminação dos dados tratados com base em consentimento;
• Informação sobre compartilhamento;
• Revogação do consentimento.

Solicitações: [email protected]. Respondemos em até 15 dias corridos.

7. Como protegemos os dados

• Criptografia TLS 1.3 em todo o tráfego;
• Criptografia em repouso no banco PostgreSQL;
• Senhas com bcrypt cost 12 e salt único por usuário;
• JWT HS256 com segredo de 64 caracteres em cookie HttpOnly;
• Rate-limit em login e cadastro por IP;
• Cabeçalhos de segurança ativos (HSTS, CSP, X-Frame-Options, Referrer-Policy);
• Logs de auditoria com IP, usuário e ação para operações relevantes;
• Backup diário do banco com retenção de 30 dias;
• Engine de auditoria multi-agente rodando todo dia 03:30 BRT para detectar drift regulatório;
• Container Docker isolado, sem dependências cruzadas com outros sistemas.

8. Incidentes de segurança

Em caso de incidente que afete dados pessoais, comunicaremos o USUÁRIO afetado em até 48 horas após confirmação, com descrição da natureza, dados afetados e medidas de contenção, e à ANPD conforme o art. 48 da LGPD.

9. Cookies

Usamos exclusivamente cookies estritamente necessários para autenticação e segurança (token JWT em cookie fds_token, HttpOnly, Secure). Não usamos cookies de marketing, analytics de terceiros ou rastreamento. Os placeholders de Google Analytics e Microsoft Clarity citados na base do site estão desabilitados até decisão formal sobre análise de uso anonimizada.

10. Encarregado de Dados (DPO)

Dr. Renato Abritta Zacarias
E-mail: [email protected]

11. Atualizações desta política

Mudanças materiais são comunicadas com 30 dias de antecedência por e-mail ao USUÁRIO ativo. A versão sempre vigente é a publicada nesta página.

Termos de Uso: fds.cepea.org/termos