Política de Privacidade
1. Introdução e Identificação do Controlador
1.1 Esta Política de Privacidade descreve como a GVF Serviços de Tecnologia Ltda., inscrita no CNPJ nº 68.051.706/0001-16, com sede na Av. Manoel dos Santos Braga, nº 736, Vila Monte Santo, CEP 08062-010, São Paulo/SP ("Ponderum", "Controladora", "nós"), coleta, utiliza, armazena, compartilha e protege os dados pessoais tratados por meio da plataforma Ponderum, em conformidade com a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais, LGPD).
1.2 Esta Política aplica-se a todos os Usuários da Plataforma e integra os Termos de Uso da Ponderum.
2. Dados Pessoais Coletados
2.1 Dados de cadastro: nome completo, e-mail, senha (armazenada com hash, nunca em texto puro), nome da organização, CNPJ ou CPF (opcional) e setor de atuação (opcional).
2.2 Dados de contratos enviados: arquivos enviados pelo Usuário (PDF, Word e imagens), texto extraído pela inteligência artificial, resultados da análise (score de risco, cláusulas identificadas, sugestões), valores financeiros estimados associados a cláusulas de risco, e obrigações e prazos cadastrados manualmente.
2.3 Dados de uso: contratos gerados pela Plataforma a partir de templates, feedbacks enviados pelo Usuário e logs de auditoria de criação e exclusão de contratos.
2.4 Dados técnicos, coletados automaticamente: endereço IP, tipo de navegador e sistema operacional, páginas acessadas dentro da Plataforma, erros técnicos (monitorados pela ferramenta Sentry) e cookies de sessão e dados de armazenamento local (localStorage) para preferências de interface.
3. Finalidades e Bases Legais do Tratamento
3.1 Tratamos os dados pessoais acima para as seguintes finalidades, com as respectivas bases legais previstas no art. 7º da LGPD:
| Finalidade | Base legal |
|---|---|
| Prestação do serviço de análise contratual e geração de minutas | Execução de contrato (art. 7º, V) |
| Controle de limites de uso conforme o plano contratado | Execução de contrato (art. 7º, V) |
| Envio de alertas por e-mail sobre vencimento de obrigações | Execução de contrato (art. 7º, V) |
| Comunicações operacionais (cadastro, recuperação de senha) | Execução de contrato (art. 7º, V) |
| Monitoramento de erros técnicos e manutenção da Plataforma | Legítimo interesse (art. 7º, IX) |
| Coleta de feedback para melhoria do produto | Legítimo interesse (art. 7º, IX) |
| Prevenção a fraude e segurança da informação | Legítimo interesse (art. 7º, IX) |
| Cumprimento de obrigação legal ou regulatória, quando aplicável | Cumprimento de obrigação legal (art. 7º, II) |
3.2 Quando o tratamento depender de consentimento, por exemplo para cookies não essenciais que venham a ser implementados no futuro, este será solicitado de forma específica e destacada, podendo ser revogado a qualquer tempo.
4. Compartilhamento de Dados com Terceiros (Operadores)
4.1 Para viabilizar a prestação do serviço, a Ponderum compartilha dados pessoais com os seguintes operadores:
| Serviço | Empresa | Finalidade | Dados acessados |
|---|---|---|---|
| Supabase | Supabase Inc. (EUA) | Banco de dados, autenticação e armazenamento de arquivos | Todos os dados da Plataforma |
| Anthropic / Claude API | Anthropic PBC (EUA) | Análise de contratos por IA (extração de texto e identificação de riscos) | Conteúdo dos contratos enviados para análise |
| Resend | Resend Inc. (EUA) | Envio de e-mails transacionais (alertas e confirmações) | Nome e e-mail do destinatário |
| Vercel | Vercel Inc. (EUA) | Hospedagem da interface web | IPs de acesso e logs de requisição |
| Sentry | Functional Software Inc. (EUA) | Monitoramento de erros em produção | Dados técnicos de erros, sem dados pessoais identificáveis |
4.2 A Ponderum não vende dados pessoais a terceiros nem os compartilha para fins de publicidade de terceiros.
4.3 O conteúdo dos contratos enviados para análise é transmitido à API da Anthropic, nos Estados Unidos, exclusivamente para a finalidade de extração de texto e identificação de riscos. A Anthropic não utiliza o conteúdo processado por meio de seus produtos comerciais (incluindo a API) para treinamento de seus modelos de inteligência artificial, conforme os Termos Comerciais e a Central de Privacidade da própria Anthropic. A Ponderum adota medidas técnicas de isolamento (segregação do conteúdo do Usuário por meio de marcação estrutural no prompt) para reduzir o risco de que instruções inseridas no conteúdo dos documentos influenciem indevidamente o comportamento da inteligência artificial.
5. Transferência Internacional de Dados
5.1 Em razão da utilização de provedores sediados nos Estados Unidos (Supabase, Anthropic, Resend, Vercel e Sentry), dados pessoais podem ser transferidos internacionalmente para fora do território brasileiro, ainda que o armazenamento primário dos dados do banco de dados ocorra em servidor da Supabase localizado na região sa-east-1 (São Paulo, Brasil).
5.2 Essa transferência fundamenta-se na necessidade de execução do contrato entre o Usuário e a Ponderum (art. 33, II c/c art. 7º, V, da LGPD). Especificamente quanto à Anthropic, o Data Processing Addendum (DPA) com Cláusulas-Contratuais Padrão (Standard Contractual Clauses) é incorporado automaticamente aos Termos Comerciais da Anthropic no momento da criação da conta de API e aceite desses termos, dispensada a assinatura de instrumento separado. Quanto aos demais operadores (Supabase, Resend, Vercel e Sentry), a Ponderum ampara-se nos instrumentos padrão de proteção de dados já disponibilizados por cada um a seus clientes, prática usual entre plataformas SaaS que utilizam esses mesmos provedores.
5.3 A Ponderum seleciona seus operadores com base em práticas de segurança da informação reconhecidas no mercado, exigindo, quando aplicável, compromissos contratuais de proteção de dados compatíveis com a LGPD.
6. Segurança da Informação
6.1 A Ponderum adota as seguintes medidas técnicas e administrativas de segurança:
- isolamento de dados por organização, por meio de controle de acesso a nível de linha no banco de dados (Row Level Security), testado em ambiente de produção em 05/07/2026, com resultado de bloqueio total de acesso cruzado confirmado entre organizações distintas;
- criptografia em repouso (AES-256) para dados de banco de dados e arquivos armazenados, e criptografia em trânsito (TLS 1.2/1.3), fornecidas pela infraestrutura da Supabase;
- armazenamento de senhas com hash seguro, gerenciado pelo provedor de autenticação (Supabase GoTrue); as senhas nunca são armazenadas em texto puro;
- tokens de sessão (JWT) com expiração automática;
- opção de login federado via Google (OAuth 2.0) como alternativa ao cadastro por e-mail e senha;
- limite de tentativas de login (5 tentativas a cada 5 minutos, por endereço IP);
- validação técnica dos arquivos enviados, com verificação do tipo real do arquivo;
- monitoramento automático de erros em produção.
6.2 Apesar dos esforços de segurança adotados, nenhum sistema é absolutamente livre de vulnerabilidades. Em caso de incidente de segurança que possa acarretar risco relevante aos titulares, a Ponderum comunicará a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados, nos termos do art. 48 da LGPD.
7. Retenção e Exclusão de Dados
7.1 Os dados pessoais são mantidos enquanto a conta do Usuário estiver ativa.
7.2 Organizações sem atividade por período superior a 24 (vinte e quatro) meses poderão ser sinalizadas internamente para revisão, podendo a Ponderum notificar o Usuário previamente à eventual exclusão dos dados por inatividade prolongada.
7.3 Após a exclusão da conta pelo Usuário, os dados pessoais associados, incluindo contratos, análises, arquivos e demais informações da organização, são removidos de forma permanente e irreversível dos sistemas da Ponderum, ressalvados os backups mantidos pela Supabase conforme sua política interna de retenção, que seguem seu próprio ciclo de expurgo.
7.4 Dados poderão ser mantidos por prazo adicional quando exigido por obrigação legal, regulatória ou para exercício regular de direitos em processo judicial, administrativo ou arbitral.
8. Direitos do Titular
8.1 Nos termos do art. 18 da LGPD, o titular dos dados pode exercer, gratuitamente e a qualquer tempo, os seguintes direitos:
- Confirmação e acesso: confirmação da existência de tratamento e acesso aos dados;
- Portabilidade: exportação completa dos dados em formato JSON ou PDF legível;
- Correção: atualização de dados incompletos, inexatos ou desatualizados;
- Eliminação: exclusão dos dados tratados com base em consentimento ou ao final do tratamento;
- Revogação do consentimento, quando o tratamento tiver esse fundamento;
- Informação sobre compartilhamento de dados com terceiros.
8.2 Acesso, portabilidade e correção estão disponíveis diretamente na Plataforma, em Configurações > Privacidade e Dados. A exclusão completa da conta e de todos os dados associados também está disponível nessa mesma seção e produz efeitos imediatos e irreversíveis.
8.3 Solicitações que não puderem ser resolvidas diretamente na Plataforma podem ser encaminhadas ao canal de contato indicado na Cláusula 10.
9. Cookies e Armazenamento Local
9.1 A Ponderum utiliza cookies de sessão, estritamente necessários para manter o login do Usuário ativo, e dados de armazenamento local (localStorage) para lembrar preferências de interface, como tema visual e filtros de listagem.
9.2 A Ponderum não utiliza cookies de rastreamento ou de publicidade de terceiros.
10. Encarregado de Dados (DPO) e Canal de Contato
10.1 Para exercer os direitos previstos nesta Política ou esclarecer dúvidas sobre o tratamento de dados pessoais, o titular pode entrar em contato com o Encarregado de Dados (DPO) da Ponderum por meio do e-mail contato@ponderum.com.
10.2 O Encarregado de Dados (DPO) da Ponderum é Vitor Moreira de Azevedo.
11. Menores de Idade
11.1 A Plataforma é destinada exclusivamente a pessoas jurídicas e a profissionais maiores de 18 anos. A Ponderum não coleta intencionalmente dados pessoais de menores de idade.
12. Conteúdo Gerado por Inteligência Artificial
12.1 As minutas contratuais geradas pela Plataforma a partir de templates trazem, de forma automática e não removível, o aviso: "Este documento foi gerado pela Ponderum com base em modelos padrão de mercado. Recomendamos revisão por advogado habilitado antes da assinatura."
12.2 As análises de risco, scores e estimativas de impacto financeiro gerados pela inteligência artificial são estimativas e não constituem parecer jurídico.
13. Alterações desta Política
13.1 Esta Política poderá ser alterada a qualquer tempo, com comunicação prévia ao Usuário com antecedência mínima de 5 (cinco) dias, por e-mail e por aviso na própria Plataforma.
14. Disposições Finais
14.1 Esta Política é regida pelas leis da República Federativa do Brasil e pela Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018).
14.2 Em caso de dúvida sobre esta Política, entre em contato pelo canal indicado na Cláusula 10.
Veja também os Termos de Uso.
Ponderum é uma marca da GVF Serviços de Tecnologia Ltda. © 2026. Todos os direitos reservados.