1. Quem somos e a quem se aplica
Esta Política explica como o KruvelKash trata dados pessoais, em conformidade com a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados, “LGPD”).
Ela se aplica aos visitantes do site, aos Usuários da plataforma, aos representantes das empresas clientes e às pessoas cujos dados aparecem nas informações financeiras inseridas pelos clientes. Os termos com inicial maiúscula têm o significado dado nos Termos de Uso.
2. Nosso papel no tratamento
A LGPD distingue quem decide sobre o tratamento (controlador) de quem trata dados em nome de outro (operador). O KruvelKash ocupa os dois papéis, dependendo do dado:
- Controlador dos dados de cadastro, conta, cobrança, comunicação, segurança e uso do site e da plataforma. Para esses dados, esta Política é a referência principal.
- Operador dos Dados do Cliente, isto é, as informações que as empresas clientes inserem, importam ou integram na plataforma, como lançamentos, extratos, documentos e cadastros de clientes e fornecedores. Nesse caso, a empresa cliente é a controladora: ela define para que esses dados são usados e responde perante os titulares. O KruvelKash trata esses dados somente conforme as instruções do cliente e os Termos de Uso.
Quando um BPO financeiro usa o KruvelKash para atender seus próprios clientes, a relação de controle desses dados é definida entre o BPO e cada cliente atendido. O KruvelKash continua atuando apenas conforme as instruções recebidas por meio da plataforma.
3. Dados que tratamos
| Categoria | Exemplos | Origem |
|---|---|---|
| Cadastro e conta | Nome, e-mail, telefone, cargo, empresa, senha (armazenada de forma irreversível), perfis e permissões | Usuário ou administrador que envia o convite |
| Dados da empresa cliente | Razão social, CNPJ, endereço e contatos de cobrança | Cliente |
| Cobrança | Plano, histórico de pagamentos e dados de faturamento. | Cliente |
| Uso e segurança | Endereço IP, data e hora de acesso, navegador, dispositivo, registros de ações na plataforma e eventos de autenticação | Coletados automaticamente |
| Comunicações | Mensagens enviadas ao suporte ou ao contato comercial | Titular |
| Integrações | Identificação de chaves de API, Parceiros conectados e registros de requisições | Cliente e Parceiros autorizados |
| Dados do Cliente (como operador) | Lançamentos, extratos, documentos, estoque e cadastros de clientes e fornecedores, que podem conter nome, CPF, dados bancários e valores de pessoas físicas | Cliente, importações e integrações |
A plataforma não foi projetada para tratar dados pessoais sensíveis (como saúde, religião ou biometria). Pedimos que os clientes não insiram esse tipo de dado, salvo quando estritamente necessário e com base legal adequada.
4. Finalidades e bases legais
Como controlador, tratamos dados pessoais para as finalidades abaixo, cada uma amparada em uma base legal do art. 7º da LGPD:
| Finalidade | Base legal |
|---|---|
| Criar e manter contas, autenticar Usuários e prestar o serviço contratado | Execução de contrato (art. 7º, V) |
| Cobrança, faturamento e emissão de documentos fiscais | Execução de contrato e cumprimento de obrigação legal (art. 7º, V e II) |
| Enviar e-mails transacionais, como convites, redefinição de senha e avisos da conta | Execução de contrato (art. 7º, V) |
| Prevenir fraudes, proteger contas e investigar incidentes de segurança | Legítimo interesse (art. 7º, IX) |
| Guardar registros de acesso à aplicação | Cumprimento de obrigação legal (art. 7º, II; Lei nº 12.965/2014, art. 15) |
| Prestar suporte e responder a contatos | Execução de contrato ou procedimentos preliminares (art. 7º, V) |
| Medir desempenho e uso agregado para melhorar o produto | Legítimo interesse (art. 7º, IX) |
| Enviar comunicações sobre novidades do produto | Legítimo interesse ou consentimento (art. 7º, IX ou I), sempre com opção de descadastro |
| Exercer direitos em processos judiciais, administrativos ou arbitrais | Exercício regular de direitos (art. 7º, VI) |
Os Dados do Cliente são tratados somente para prestar o serviço ao cliente controlador. Não usamos esses dados para finalidades próprias, como publicidade, nem os vendemos.
5. Compartilhamento e suboperadores
Não vendemos dados pessoais. Compartilhamos dados apenas quando necessário para prestar o serviço, com fornecedores que atuam como suboperadores, sob contrato e com obrigações de segurança e confidencialidade:
| Fornecedor | Função | Local de tratamento |
|---|---|---|
| Amazon Web Services (AWS) | Hospedagem do site, da plataforma e do banco de dados, armazenamento de arquivos e backups | Brasil (região de São Paulo) |
| Resend | Envio de e-mails transacionais | Estados Unidos |
| Cloudflare (Turnstile) | Verificação anti-robô nas telas de acesso | Infraestrutura global do fornecedor |
| Zoho | E-mail do domínio kruvelkash.com.br (atendimento e contato) | Infraestrutura global do fornecedor |
Também podemos compartilhar dados:
- com Parceiros e integrações que o próprio cliente conectar à plataforma, nos limites da autorização dada;
- com autoridades públicas, quando houver obrigação legal ou ordem judicial;
- em operações societárias, como fusão ou aquisição, mantidas as garantias desta Política.
A lista de suboperadores será mantida atualizada nesta página. Mudanças relevantes serão comunicadas aos clientes.
6. Transferência internacional
Os Dados do Cliente e os dados da conta ficam armazenados no Brasil, na região de São Paulo da AWS.
Alguns fornecedores tratam dados fora do país. É o caso do envio de e-mails transacionais, em que nome, endereço de e-mail e conteúdo da mensagem são processados nos Estados Unidos. Nessas situações, a transferência segue os mecanismos do art. 33 da LGPD e a regulamentação da Autoridade Nacional de Proteção de Dados (ANPD), como cláusulas contratuais padrão.
7. Segurança
Adotamos medidas técnicas e administrativas proporcionais aos riscos do tratamento, entre elas:
- criptografia em trânsito (TLS) e em repouso;
- separação lógica dos dados por empresa, com controle de acesso por perfil e permissão;
- senhas armazenadas com algoritmos de hash, nunca em texto aberto;
- registro de ações relevantes, como conciliações e alterações financeiras, para rastreabilidade;
- acesso interno restrito a quem precisa dele para operar ou dar suporte;
- backups periódicos e procedimentos de recuperação.
Nenhum sistema é totalmente imune a falhas. Por isso, também mantemos um processo de resposta a incidentes, descrito na seção 12. Mais informações estão na página de segurança.
8. Retenção e exclusão
Mantemos os dados pessoais pelo tempo necessário para cumprir as finalidades desta Política:
- Conta e cadastro: enquanto a conta estiver ativa e, depois, pelo prazo necessário para cumprir obrigações legais ou exercer direitos.
- Registros de acesso à aplicação: no mínimo 6 meses, conforme o Marco Civil da Internet.
- Dados de cobrança e fiscais: pelo prazo exigido pela legislação tributária e contábil.
- Dados do Cliente: durante a vigência do contrato. Após o encerramento, o cliente tem prazo razoável, informado pelo KruvelKash, para exportá-los. Em seguida, eles são excluídos dos sistemas ativos e, depois, das cópias de segurança, conforme o ciclo de retenção dos backups.
Quando a exclusão não for possível ou exigida, os dados podem ser anonimizados, deixando de identificar qualquer pessoa.
9. Direitos do titular
O titular de dados pessoais pode, nos termos do art. 18 da LGPD, solicitar:
- confirmação da existência de tratamento e acesso aos dados;
- correção de dados incompletos, inexatos ou desatualizados;
- anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
- portabilidade dos dados a outro fornecedor;
- eliminação dos dados tratados com base no consentimento;
- informação sobre as entidades com as quais os dados foram compartilhados;
- informação sobre a possibilidade de não consentir e suas consequências;
- revogação do consentimento;
- revisão de decisões tomadas unicamente com base em tratamento automatizado.
9.1 Como exercer
Envie o pedido ao encarregado, pelo canal indicado na seção 10. Podemos pedir informações para confirmar sua identidade antes de atender, para proteger seus dados. Responderemos nos prazos previstos na LGPD e na regulamentação da ANPD.
Se o pedido envolver Dados do Cliente, isto é, dados que uma empresa cliente inseriu na plataforma, ele deve ser feito a essa empresa, que é a controladora. Se o pedido chegar a nós, o encaminharemos a ela e apoiaremos o atendimento.
O titular também pode apresentar reclamação à ANPD.
10. Encarregado pelo tratamento de dados
O encarregado (DPO) é o canal de comunicação entre o KruvelKash, os titulares e a ANPD.
Os pedidos relacionados a dados pessoais podem ser enviados para contato@kruvelkash.com.br.
12. Incidentes de segurança
Se ocorrer um incidente de segurança que possa causar risco ou dano relevante aos titulares, o KruvelKash vai:
- agir para conter o incidente e reduzir seus efeitos;
- comunicar a ANPD e os titulares afetados, nos prazos e na forma da regulamentação, quando for o controlador;
- avisar sem demora indevida as empresas clientes afetadas, quando o incidente envolver Dados do Cliente, fornecendo as informações de que precisarem para cumprir suas próprias obrigações.
13. Crianças e adolescentes
O KruvelKash é um serviço para empresas e não se destina a menores de 18 anos. Não coletamos intencionalmente dados de crianças ou adolescentes como Usuários.
14. Alterações desta Política
Esta Política pode ser atualizada para refletir mudanças no produto, nos fornecedores ou na legislação. A data da última atualização aparece no topo do documento. Mudanças relevantes serão comunicadas por e-mail ou na plataforma antes de entrarem em vigor.
15. Contato
Dúvidas sobre esta Política podem ser enviadas para contato@kruvelkash.com.br ou ao encarregado, pelo canal da seção 10.