Política de Privacidade
A plataforma Dracma Shield (“Plataforma”) é mantida por DRACMA TECNOLOGIA LTDA, inscrita no CNPJ sob o nº 19.943.630/0001-28, com endereço fiscal na Rua Rio Grande do Norte, nº 1560, Savassi, Belo Horizonte/MG, CEP 30130-138, doravante “Dracma”. Encarregado de Dados: dpo@dracma.ai. Site: dracma.ai.
1.Quem somos, a quem se aplica e definições
1.1. Esta Política explica como a DRACMA TECNOLOGIA LTDA (CNPJ 19.943.630/0001-28), responsável pela Dracma Shield, trata dados pessoais, conforme a LGPD, o Marco Civil da Internet (Lei nº 12.965/2014) e o Código de Defesa do Consumidor (Lei nº 8.078/1990). Versão 1.0, vigente a partir da data de publicação e revista a cada 12 (doze) meses.
1.2. A quem se aplica:
| Quem | Exemplos | Papel da Dracma |
|---|---|---|
| Visitantes do site | Quem navega no site, assina a newsletter ou preenche um formulário | Controladora |
| Representantes e Usuários Autorizados dos Clientes | Quem acessa o painel, recebe faturas ou fala com o suporte | Controladora |
| Usuários Finais dos Clientes | Quem se cadastra, faz login ou paga no site ou aplicativo de um Cliente protegido pela Dracma Shield | Operadora nos Eventos do Cliente; controladora na Inteligência Compartilhada |
1.3. Definições. Valem as definições dos Termos de Uso e da LGPD. Além delas:
- Dado pessoal: informação sobre pessoa natural identificada ou identificável. Identificadores de dispositivo e endereços IP associados a uma pessoa são dados pessoais.
- Dado pessoal sensível: dado sobre origem racial ou étnica, religião, opinião política, filiação sindical ou a organização religiosa, filosófica ou política, saúde, vida sexual, dado genético ou biométrico.
- Pseudonimização: substituição de um dado (como e-mail ou telefone) por um código que, sozinho, não identifica a pessoa.
- Anonimização: processo pelo qual o dado perde a possibilidade de associação a uma pessoa.
- ANPD: Autoridade Nacional de Proteção de Dados.
1.4. Dados exclusivamente de pessoas jurídicas, como CNPJ e razão social, não são dados pessoais. Dados de sócios e representantes pessoas físicas são.
2.Papéis de controlador e operador
2.1. Nos Eventos do Cliente, a Dracma é operadora. O Cliente decide quais interações analisar e o que fazer com o Score. A Dracma trata esses dados só para executar a análise pedida, conforme as instruções do Cliente.
2.2. Na Inteligência Compartilhada, a Dracma é controladora. A Dracma decide como esses Sinais são guardados e usados para proteger todos os Clientes, sempre nos limites da seção 5.2 dos Termos de Uso. A base legal é o legítimo interesse da Dracma e dos Clientes em prevenir fraudes, com avaliação de legítimo interesse e relatório de impacto à proteção de dados mantidos pela Dracma.
2.3. Nos dados do site e dos Usuários Autorizados, a Dracma é controladora.
2.4. Para exercer seus direitos: o Usuário Final deve procurar primeiro a empresa com quem se relaciona (o Cliente), que responde pelos Eventos dela. Sobre a Inteligência Compartilhada, o Usuário Final pode procurar diretamente a Dracma pelo dpo@dracma.ai. Se receber um pedido que caiba ao Cliente, a Dracma o encaminha a ele.
3.Dados tratados, finalidades e bases legais
A Dracma trata apenas os dados necessários para cada finalidade abaixo e não os usa para finalidade diferente sem nova base legal e aviso ao Titular.
| Quem | Dados | Finalidade | Base legal (LGPD) |
|---|---|---|---|
| Visitantes do site | Nome, e-mail, telefone, empresa e mensagem de formulário; IP, navegador e páginas visitadas | Responder contatos, enviar propostas e newsletter (com descadastro em cada envio), medir o uso do site | Procedimentos preliminares a contrato (art. 7º, V); legítimo interesse (art. 7º, IX); consentimento para cookies não essenciais (art. 7º, I) |
| Representantes e Usuários Autorizados | Nome, CPF, cargo, e-mail, telefone, credenciais, registros de acesso e de ações no painel | Gerir acessos, faturar, dar suporte, prevenir uso indevido | Execução de contrato (art. 7º, V); obrigação legal (art. 7º, II), inclusive Marco Civil da Internet, art. 15; legítimo interesse (art. 7º, IX) |
| Usuários Finais (Eventos do Cliente) | Dados do Evento (tipo, data, hora, canal, valor e meio de pagamento quando houver); identificadores enviados pelo Cliente (como CPF, e-mail e telefone); Sinais de dispositivo, rede e uso (seção 4) | Calcular Score e Recomendação, detectar fraude, invasão de conta, uso de robôs e lavagem de dinheiro | Definida pelo Cliente controlador, normalmente o legítimo interesse em prevenir fraudes (art. 7º, IX), a proteção do crédito (art. 7º, X) ou obrigação legal ou regulatória (art. 7º, II) |
| Usuários Finais (Inteligência Compartilhada) | Sinais ligados a fraude confirmada e identificadores pseudonimizados | Proteger os demais Clientes de fraudadores e ataques já identificados | Legítimo interesse (art. 7º, IX), com avaliação documentada |
Candidatos a vagas na Dracma têm currículo e contatos tratados só pela equipe de recrutamento (art. 7º, V) e podem pedir a remoção a qualquer tempo.
Os dados enviados por um Cliente não são vendidos, não são usados para publicidade e não são repassados a outros Clientes, salvo na forma de indicador de risco da Inteligência Compartilhada.
4.Sinais de dispositivo, comportamento e Inteligência Compartilhada
4.1. Sinais que o SDK pode coletar:
| Tipo | Exemplos | Para que serve |
|---|---|---|
| Dispositivo | Modelo, sistema operacional, navegador, idioma, fuso horário, resolução de tela, identificador técnico do dispositivo | Reconhecer o mesmo aparelho e detectar aparelhos falsos ou emulados |
| Rede e localização | Endereço IP, provedor, uso de VPN, proxy ou TOR, localização aproximada pela rede | Detectar acessos de locais ou redes incompatíveis com o histórico |
| Integridade | Sinais de root, jailbreak, emulador, automação ou aplicativos de controle remoto | Detectar robôs e golpes com acesso remoto ao aparelho |
| Uso | Ritmo de digitação, padrões de toque e de movimento, tempo entre telas, colar texto em campos | Diferenciar pessoa de robô e perceber quando outra pessoa está usando a conta |
4.2. A Dracma não coleta pelo SDK: conteúdo de mensagens, fotos, contatos, lista completa de aplicativos instalados, localização precisa por GPS, microfone ou câmera.
4.3. Sinais de uso não identificam a pessoa. Eles são usados só como indicador de risco de uma sessão e não servem para reconhecer quem é o Usuário Final. Por isso, a Dracma não os trata como biometria. Se algum dia forem usados para identificar pessoas, passarão a ser tratados como dado biométrico sensível, com base legal própria e aviso prévio.
4.4. Inteligência Compartilhada. Recebe só Sinais técnicos e identificadores pseudonimizados ligados a fraude confirmada. Não recebe biometria facial, imagens, documentos, dados bancários, valores nem a identidade do Cliente de origem. O Usuário Final que entender estar marcado por engano pode pedir revisão pelo dpo@dracma.ai. A Dracma verifica com o Cliente de origem e remove a marcação se ela não se confirmar.
5.Compartilhamento, suboperador e localização dos dados
5.1. Com quem os dados são compartilhados:
- com o Cliente que enviou o Evento, que recebe o Score, a Recomendação e os fatores de risco;
- com os demais Clientes, apenas na forma de indicador de risco da Inteligência Compartilhada, sem dados que identifiquem o Usuário Final ou o Cliente de origem;
- com o provedor de nuvem Amazon Web Services (AWS), único suboperador da Dracma, sob contrato de confidencialidade e proteção de dados;
- com autoridades, quando houver obrigação legal ou ordem judicial;
- em operações societárias, como fusão, aquisição ou incorporação, mantidas as garantias desta Política e os contratos com os Clientes.
5.2. A Dracma não vende dados pessoais.
5.3. Localização. Os dados ficam em servidores da AWS na região de São Paulo, no Brasil. Hoje não há transferência internacional de dados pessoais. Se houver no futuro, ela seguirá os arts. 33 a 36 da LGPD e o Regulamento de Transferência Internacional da ANPD.
5.4. Novos suboperadores serão informados aos Clientes antes de começarem a tratar dados. Para Clientes regulados pelo Banco Central, a localização dos dados segue o que o Contrato definir.
6.Retenção, direitos do Titular e decisões automatizadas
6.1. Por quanto tempo guardamos:
| Dado | Prazo |
|---|---|
| Eventos, Sinais e Scores do Cliente | Enquanto durar o Contrato e até 5 (cinco) anos após cada Evento, para investigação de fraudes, contestações e defesa em processos, salvo instrução diferente do Cliente |
| Sinais da Inteligência Compartilhada | Revistos a cada 12 (doze) meses; eliminados quando deixarem de indicar risco e, no máximo, 5 (cinco) anos após a fraude confirmada |
| Registros de acesso ao painel e à API | 6 (seis) meses, no mínimo (Marco Civil da Internet, art. 15) |
| Dados de representantes e Usuários Autorizados | Enquanto durar a relação e até 5 (cinco) anos após, para obrigações legais e fiscais |
| Dados de contato do site | Até 2 (dois) anos sem novo contato |
Terminado o prazo, os dados são eliminados ou anonimizados, salvo obrigação legal de guarda. Estatísticas anonimizadas, que não permitem identificar ninguém, podem ser mantidas sem prazo.
6.2. Direitos do Titular (LGPD, art. 18): confirmar se há tratamento; acessar os dados; corrigir dados incompletos, inexatos ou desatualizados; pedir anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade; opor-se a tratamento baseado em legítimo interesse que viole a LGPD; pedir a portabilidade; saber com quem os dados foram compartilhados; revogar o consentimento, quando for a base legal.
6.3. A Dracma confirma a identidade de quem faz o pedido antes de entregar qualquer dado e responde em até 15 (quinze) dias. Alguns pedidos podem ser limitados para não revelar regras e modelos antifraude, o que ajudaria fraudadores, ou por obrigação legal. Nesse caso, a Dracma informa o motivo.
6.4. Decisões automatizadas. A Plataforma gera Score e Recomendação de forma automatizada, e o Cliente pode configurá-la para aprovar ou negar sem intervenção humana. O Usuário Final afetado por decisão tomada só com base nesse tratamento pode pedir ao Cliente sua revisão e informações sobre os critérios usados (LGPD, art. 20). A Dracma fornece ao Cliente os principais fatores de risco de cada decisão, preservados os segredos comercial e industrial.
7.Segurança, incidentes, SDK e cookies, menores, contato e atualizações
7.1. Segurança. As medidas de segurança estão na Política de Segurança da Informação. Entre elas: criptografia em trânsito e armazenada, controle de acesso pelo mínimo necessário, segregação dos dados por Cliente e monitoramento contínuo.
7.2. Incidentes. Em incidente de segurança que possa causar risco ou dano relevante aos Titulares, a Dracma avisa os Clientes afetados sem demora injustificada. Quando for controladora, ou quando o Cliente assim instruir, comunica também a ANPD e os Titulares, nos prazos do Regulamento de Comunicação de Incidente de Segurança da ANPD.
7.3. SDK e cookies nos sites e aplicativos dos Clientes. O SDK pode usar armazenamento local do navegador ou do aplicativo para reconhecer o dispositivo. Como esse uso serve à segurança, ele não depende de consentimento, mas o Cliente deve informá-lo ao Usuário Final em sua política de privacidade. O SDK não é usado para publicidade nem para rastrear o Usuário Final em sites de terceiros.
7.4. Cookies no site da Dracma. O site usa cookies essenciais e, com consentimento do visitante, cookies de medição de audiência, que podem ser recusados no aviso do site ou nas configurações do navegador.
7.5. Crianças e adolescentes. O site e o painel são destinados a maiores de 18 (dezoito) anos. O Cliente que analisar Eventos de menores de idade deve observar o art. 14 da LGPD e o melhor interesse da criança ou do adolescente.
7.6. Encarregado de Dados (DPO). Pedidos, dúvidas e reclamações sobre dados pessoais podem ser enviados a Tércio Fonseca, Encarregado de Dados da Dracma, pelo e-mail dpo@dracma.ai. Encarregado substituto: Fabrício Massula Dutra. O Titular também pode reclamar à ANPD. Suspeitas de incidente ou vulnerabilidade de segurança podem ser reportadas a sec@dracma.ai. Por correio: Rua Rio Grande do Norte, nº 1560, Savassi, Belo Horizonte/MG, CEP 30130-138, aos cuidados do Encarregado de Dados.
7.7. Atualizações. Esta Política pode ser atualizada por mudanças nos Serviços, na lei ou na regulação. Mudanças relevantes são avisadas no site e, para Clientes, por e-mail.