Política de Privacidade
Última atualização: 5 de outubro de 2026
1. Dois papéis diferentes, e a diferença importa
A FormaOS trata dados pessoais em duas situações que a LGPD separa:
- Como controladora, sobre os dados de quem contrata e usa a plataforma — você e sua equipe. Aqui nós decidimos por que e como tratar.
- Como operadora, sobre os dados que você cadastra dentro da sua oficina — seus clientes, os contatos deles, o histórico de conversas. Esses dados são seus; nós apenas os processamos a seu mando.
Na prática: se um cliente seu quiser saber por que os dados dele estão na FormaOS, quem responde é você, e nós ajudamos. Se você quiser saber o que fazemos com os seus, quem responde somos nós.
A controladora e operadora é Tecmale Tecnologia da Informação LTDA, CNPJ 69.407.032/0001-02, com sede em R. Pais Leme, 215, conj. 1713, Pinheiros, São Paulo/SP, CEP 05424-150.
2. Que dados coletamos
De quem usa a plataforma: nome, e-mail, senha (guardada como hash, nunca em texto), papel dentro da oficina, e o registro das ações feitas no sistema. Da oficina: razão social ou nome, documento (CNPJ/CPF) e endereço, quando informados.
De quem você cadastra: o que você escolher cadastrar — nome, telefone, e-mail, endereço, histórico de orçamentos e pedidos, e o conteúdo das conversas de WhatsApp que passarem pela plataforma.
Técnicos, automaticamente: data e hora de acesso, endereço IP, navegador, e relatórios de erro quando algo quebra.
Não coletamos dado sensível (origem racial, saúde, biometria, convicção religiosa ou política) e a plataforma não tem campo para isso. Não guardamos dado de cartão de crédito — ele vai direto ao provedor de pagamento e nunca passa por nossos servidores.
3. Por que tratamos, e com qual base legal
- Executar o contrato (art. 7º, V): manter sua conta, processar o que você cadastra, cobrar a mensalidade, enviar avisos operacionais.
- Obrigação legal (art. 7º, II): guardar registros fiscais e de acesso pelos prazos que a lei exige.
- Legítimo interesse (art. 7º, IX): segurança, prevenção a fraude, e métrica agregada de uso do produto para saber o que melhorar. Você pode se opor a esta última — ver seção 8.
Não fazemos marketing com os seus dados nem com os dos seus clientes. Não vendemos, não alugamos, não cedemos. E não usamos nada disso para treinar modelos de inteligência artificial.
4. Onde os dados ficam
Banco de dados e arquivos ficam em São Paulo, no Brasil (região sa-east-1), e o processamento das páginas acontece também no Brasil (região gru1). Isso foi escolha de projeto, não acaso.
Alguns serviços de apoio listados na seção 6 processam dados fora do país — envio de e-mail e monitoramento de erro, principalmente. Nesses casos a transferência se apoia nas cláusulas contratuais desses fornecedores.
5. WhatsApp: o que fica conosco e o que não
Quando você conecta o WhatsApp, a sessão fica no computador da sua oficina, dentro do agente local — não em nossos servidores. O que sobe para a plataforma são as mensagens trocadas (texto e imagem), para você ter o histórico na tela.
A conexão usa o protocolo de aparelho conectado do WhatsApp, e a relação com a Meta continua sendo sua. As políticas de privacidade dela valem para o que acontece do lado do aplicativo.
6. Com quem compartilhamos
Só com quem é necessário para o serviço funcionar, e cada um vê apenas o mínimo do que precisa:
- Supabase — banco de dados e autenticação, no Brasil.
- Vercel — hospedagem da aplicação, no Brasil.
- Resend — envio de e-mail (convite, aviso de estoque, cobrança).
- Asaas — cobrança da assinatura da FormaOS.
- Provedor de pagamento que você conectar (Asaas, Mercado Pago, PagBank, Pagar.me ou Stripe) — para cobrar seus clientes. O contrato é seu; o dinheiro vai direto para a sua conta.
- Provedor de frete que você conectar (Melhor Envio, Frenet, SuperFrete ou Intelipost) — CEP e dimensões, para cotação; e, quando a etiqueta é comprada pelo FormaOS no Melhor Envio, nome, documento, telefone, e-mail e endereço de remetente e destinatário, que são o que a transportadora imprime e usa para entregar.
- Sentry — relatório de erro, para conserto.
- PostHog — métrica de uso do produto, quando habilitada.
Também compartilhamos quando a lei ou uma ordem judicial obrigar. Nesse caso avisamos você, salvo se a própria ordem proibir.
7. Por quanto tempo guardamos
Enquanto sua conta existir, tudo fica disponível. Depois do cancelamento, os dados ficam por 90 dias — prazo para você mudar de ideia ou pedir a exportação. Passado esse período, são apagados.
Exceção: registros que a lei obriga a manter por mais tempo (fiscais, e logs de acesso pelo prazo do Marco Civil da Internet) ficam guardados isoladamente, sem uso para nenhuma outra finalidade.
8. Seus direitos
A LGPD garante que você possa, a qualquer momento:
- confirmar que tratamos dados seus, e acessar quais são;
- corrigir o que estiver errado ou incompleto;
- pedir a exclusão do que não for obrigatório manter;
- receber uma cópia em formato aberto, para levar a outro serviço;
- se opor a tratamento baseado em legítimo interesse;
- saber com quem compartilhamos;
- revogar consentimento, quando a base legal for ela.
Para exercer qualquer um: [email protected]. Respondemos em até 15 dias.
9. Segurança
O que fazemos concretamente, e não em tese:
- Isolamento entre oficinas no próprio banco de dados. Não é filtro da aplicação — é regra do banco, que recusa a leitura mesmo que o código erre.
- Todo tráfego cifrado em trânsito (HTTPS).
- Senhas guardadas como hash, nunca em texto.
- Credenciais de gateway e de frete cifradas em repouso — quem tivesse acesso ao banco não leria as chaves.
- Permissões por papel, cada pessoa vendo só o que o papel dela permite.
- Registro de auditoria das ações sensíveis.
Nenhum sistema é imune. Se houver incidente com risco relevante, avisamos você e a ANPD, como a LGPD exige.
10. Cookies
Usamos apenas o necessário para manter você conectado e lembrar sua preferência de tema. Não há cookie de publicidade nem rastreamento entre sites.
11. Menores de idade
A plataforma é para uso profissional e não se destina a menores de 18 anos.
12. Mudanças nesta política
Mudanças relevantes são avisadas por e-mail com pelo menos 30 dias de antecedência.
13. Contato do encarregado
Para assuntos de proteção de dados: [email protected].