Política de Privacidade — Lastreia
Última atualização: 25 de julho de 2026
Esta Política explica como a Lastreia ("nós"), operada por uma sociedade empresária regularmente constituída no Brasil, trata dados pessoais na plataforma Lastreia, em conformidade com a Lei Geral de Proteção de Dados — Lei nº 13.709/2018 ("LGPD"). Dados societários completos (razão social e CNPJ) constam nos Termos de Uso, que regem contratualmente o uso da Plataforma, ou são fornecidos mediante solicitação pelo canal de contato ao final desta Política.
1. Os dois papéis da Lastreia
A Plataforma é usada por empresas ("Clientes") para gerir seus programas de conformidade. Por isso, atuamos em dois papéis distintos:
- Controladora — para os dados que coletamos diretamente para operar o serviço: dados de conta dos Usuários, cobrança, logs e comunicações. As seções 2 a 8 tratam desse papel.
- Operadora — para os dados pessoais que os Clientes inserem na Plataforma dentro dos seus ambientes (documentos, evidências, políticas, nomes de colaboradores etc.). Nesse caso, o Cliente é o controlador e nós tratamos os dados conforme suas instruções. A seção 9 trata desse papel.
2. Dados que coletamos (como controladora)
Conta e uso:
- Cadastro: nome, e-mail, senha (armazenada apenas como hash) e, para administradores, segredo de MFA (TOTP).
- Registros de auditoria e segurança: ações realizadas na Plataforma, endereço IP, data/hora, identificador de correlação — inclusive o registro probatório de aceites de termos (versão, data, IP).
- Cookies/sessão: usamos apenas cookie de sessão essencial à autenticação. Não usamos cookies de publicidade nem rastreadores de terceiros.
Cobrança:
- Dados de faturamento e histórico de pagamento processados pelo Stripe. Não armazenamos números de cartão — recebemos do Stripe apenas identificadores e status da assinatura.
Comunicações:
- E-mails operacionais enviados (convites, redefinição de senha, alertas de vencimento, notificações de cobrança) e mensagens ao suporte.
Não coletamos dados pessoais sensíveis para operar a conta e não realizamos decisões automatizadas com efeitos jurídicos sobre os Usuários.
3. Para que usamos e com quais bases legais
| Finalidade | Base legal (LGPD, art. 7º) |
|---|---|
| Criar e manter contas, autenticar, prestar o serviço | Execução de contrato (V) |
| Cobrança, emissão de documentos fiscais | Execução de contrato (V) e obrigação legal (II) |
| Segurança, prevenção a fraude e abuso, trilha de auditoria | Legítimo interesse (IX) e obrigação legal (II) |
| E-mails operacionais (convite, reset, alertas, cobrança) | Execução de contrato (V) |
| Comunicações comerciais sobre o produto | Consentimento (I) ou legítimo interesse (IX), com opção de descadastro |
| Cumprimento de ordens judiciais e obrigações regulatórias | Obrigação legal (II) |
| Melhoria do serviço com dados agregados/anonimizados | Legítimo interesse (IX) |
4. Com quem compartilhamos (suboperadores)
Não vendemos dados pessoais. Compartilhamos apenas com prestadores necessários à operação, sob contrato:
| Prestador | Função | Local do tratamento |
|---|---|---|
| Amazon Web Services | Hospedagem da Plataforma e dos bancos de dados | EUA |
| Stripe | Processamento de pagamentos | EUA/global |
| Resend | Envio de e-mails transacionais | EUA |
| OpenAI / Anthropic / Voyage AI | Processamento de IA (análises, embeddings, assistente) — apenas quando o Cliente usa essas funções | EUA |
Esta tabela é atualizada a cada inclusão ou troca de suboperador.
Também poderemos compartilhar dados se exigido por lei ou autoridade competente, e em operações societárias (fusão/aquisição), garantida a continuidade desta Política.
5. Transferência internacional
Os dados são hospedados nos EUA (AWS) e os suboperadores listados acima tratam dados fora do Brasil. Essas transferências são realizadas com base no art. 33 da LGPD, mediante cláusulas contratuais dos próprios provedores que asseguram grau de proteção adequado (ex.: Data Processing Addendum da AWS, do Stripe, do Resend e dos provedores de IA).
6. Por quanto tempo guardamos
- Dados de conta: enquanto a conta existir e, após o encerramento, pelo prazo necessário ao cumprimento de obrigações legais e exercício de direitos (regra geral: 5 anos, observados os prazos fiscais aplicáveis à cobrança).
- Logs de auditoria e aceites: 5 anos, por segurança e prova.
- Conteúdo do Cliente: ver seção 9 — exportação disponível por 30 dias após o encerramento e exclusão em seguida.
- Backups: ciclos curtos de retenção operacional (até 7 dias), após os quais os dados excluídos desaparecem também das cópias.
7. Como protegemos
Medidas técnicas e organizacionais incluem: criptografia em trânsito (TLS), senhas com hash forte, MFA obrigatório para perfis administrativos, isolamento por banco de dados dedicado para cada ambiente de Cliente, controle de acesso por papéis com segregação de funções, trilha de auditoria, verificação antimalware nos uploads, backups automáticos e princípio do menor privilégio na infraestrutura. Nenhum sistema é 100% seguro; em caso de incidente com risco relevante aos titulares, comunicaremos os afetados e a ANPD nos termos do art. 48 da LGPD.
8. Seus direitos (titulares)
Nos termos do art. 18 da LGPD, você pode solicitar: confirmação de tratamento e acesso; correção; anonimização, bloqueio ou eliminação; portabilidade; informação sobre compartilhamentos; revisão de decisões automatizadas; e revogação de consentimento (quando essa for a base legal).
Canal: privacidade@lastreia.com.br. Responderemos em prazo razoável e, se não pudermos atender, explicaremos o motivo. Você também pode peticionar à ANPD.
Encarregado (DPO): privacidade@lastreia.com.br.
Importante: se seus dados foram inseridos na Plataforma por uma empresa Cliente (ex.: você é colaborador de uma empresa que usa a Lastreia), o controlador é essa empresa — encaminharemos a ela sua solicitação, ou você pode contatá-la diretamente.
9. Dados tratados em nome dos Clientes (papel de operadora)
Quanto ao Conteúdo do Cliente (documentos, evidências, políticas, dados de colaboradores e terceiros inseridos nos ambientes):
- Tratamos esses dados exclusivamente conforme as instruções do Cliente expressas nos Termos de Uso e no uso da Plataforma, e apenas para prestar o serviço (armazenar, indexar, gerar análises e relatórios solicitados).
- Não usamos esses dados para treinar modelos de IA nem para qualquer finalidade própria.
- O envio de trechos a provedores de IA ocorre somente quando o Cliente aciona funções de IA, limitado ao necessário para a resposta.
- Auxiliamos o Cliente, na medida do razoável, a atender solicitações de titulares e obrigações da LGPD relativas a esses dados.
- Ao fim do contrato, devolvemos (exportação) e excluímos os dados conforme a seção 10 dos Termos de Uso.
- Cabe ao Cliente garantir base legal para os dados pessoais que insere na Plataforma.
10. Crianças e adolescentes
A Plataforma é destinada a uso profissional por maiores de 18 anos. Não coletamos intencionalmente dados de crianças ou adolescentes.
11. Alterações desta Política
Publicaremos as atualizações nesta página, com data de revisão. Mudanças materiais serão comunicadas por e-mail ou aviso na Plataforma com antecedência razoável.
12. Contato
Dúvidas sobre esta Política ou sobre privacidade: privacidade@lastreia.com.br. Razão social, CNPJ e endereço completos constam nos Termos de Uso ou são fornecidos mediante solicitação por esse canal.