Política de Privacidade

1. Quem é o responsável

O Compasso é operado pelo ASSERT Lab, grupo de pesquisa do CIn/UFPE, que decide como os dados pessoais são tratados (o controlador, na Lei Geral de Proteção de Dados, a LGPD). O grupo é um grupo de pesquisa e não tem pessoa jurídica própria, e não há encarregado (DPO) designado: o canal para qualquer assunto sobre os seus dados é contato@assertlab.com. O serviço está em beta fechado, sem fins lucrativos, para pessoas convidadas.

2. Quais dados tratamos

• Conta: e-mail, nome (que você informa no primeiro acesso ou que vem do Google ou do GitHub, se você entrar por eles), o endereço da foto de perfil, se o provedor informar, e o seu fuso horário.
• O que você registra: clientes, projetos, tarefas e tags que você cadastra, e os registros de horas (início, término, fuso, descrição, tags e se são faturáveis). Você decide o que escrever nas descrições: evite dados pessoais de terceiros.
• Acesso e segurança: a sessão que mantém você conectado (com o endereço IP e o navegador usados no login), os códigos de verificação enviados por e-mail (guardados só como hash, com validade curta) e contadores de tentativas para limitar abuso (ligados a um hash do e-mail). Os registros técnicos de funcionamento da hospedagem podem conter endereço IP.
• Login com Google ou GitHub: usamos esses provedores só para confirmar quem você é e pedimos apenas e-mail e perfil básico. Não guardamos as chaves de acesso que eles fornecem e não consultamos outros dados seus neles.

Não coletamos dados pessoais sensíveis de propósito, não usamos localização, não acessamos sua câmera nem seu microfone.

3. Para que usamos, e com que base

• Fazer o serviço funcionar: identificar você, guardar os seus registros, montar relatórios, enviar códigos e convites. Base: execução do serviço que você pediu ao se cadastrar.
• Segurança e prevenção de abuso: limites de tentativas, verificação anti-robô e a lista de acesso do beta. Base: legítimo interesse em proteger o serviço e as pessoas que o usam.
• Cumprir a lei, quando houver obrigação legal ou ordem de autoridade.

Não usamos os dados para publicidade, não criamos perfis de comportamento e não vendemos nem alugamos dados a ninguém.

4. Quem vê os seus dados

Outras pessoas do workspace. Quem participa do mesmo workspace vê o seu nome e e-mail na lista de membros, e os administradores podem ver, corrigir e exportar os seus registros de horas ali, conforme as permissões. Seus dados de outros workspaces não aparecem para eles.

Fornecedores que operam o serviço. Para funcionar, o Compasso usa as empresas abaixo, que tratam dados em nosso nome:

• Neon: Banco de dados onde ficam todos os dados do serviço. (Estados Unidos (AWS, região us-east-2, Ohio).)
• Vercel: Hospedagem do aplicativo e registros técnicos de funcionamento (logs). (Empresa dos Estados Unidos; o processamento pode ocorrer fora do Brasil.)
• Resend: Envio dos e-mails de código de acesso e de convite. (Empresa dos Estados Unidos; o processamento pode ocorrer fora do Brasil.)
• Cloudflare: Verificação anti-robô na entrada (Turnstile), DNS do domínio e encaminhamento do e-mail de contato. (Empresa dos Estados Unidos, com rede em vários países.)
• Google e GitHub: Somente se você escolher entrar com a sua conta deles: confirmam quem você é e informam e-mail, nome e foto. (Empresas dos Estados Unidos.)

Além disso, só compartilhamos dados se a lei ou uma decisão de autoridade exigir.

5. Dados fora do Brasil

Os fornecedores acima tratam dados fora do Brasil, em especial nos Estados Unidos. Esse tratamento acontece sob os termos de proteção de dados que cada fornecedor publica para seus clientes. Ao usar o serviço, você fica ciente dessa transferência internacional.

6. Por quanto tempo guardamos, e o que acontece quando você exclui a conta

• Enquanto a conta existir, guardamos os dados para o serviço funcionar. As sessões têm prazo, e os códigos de verificação valem por pouco tempo.
• Ao excluir a conta (Minha conta), o seu acesso termina na hora e apagamos os dados de acesso: sessões, vínculos de login e códigos. O seu nome e o seu e-mail são removidos e substituídos por um marcador anônimo.
• Os registros de horas permanecem no workspace, atribuídos a “Usuário removido”, para que relatórios já fechados não mudem. Textos que você escreveu nas descrições continuam lá e podem conter dados pessoais seus. Workspaces em que você era a única pessoa são arquivados, ou seja, ficam inacessíveis, mas o conteúdo continua guardado de forma anônima. Se quiser que isso também seja apagado, peça em contato@assertlab.com.
• O banco de dados e a hospedagem mantêm cópias de segurança e registros técnicos por um tempo limitado, definido por esses fornecedores.

7. Seus direitos

Pela LGPD, você pode pedir a confirmação de que tratamos seus dados, o acesso a eles, a correção de dados incompletos ou errados, a anonimização, o bloqueio ou a eliminação do que for desnecessário ou excessivo, a portabilidade, a informação sobre com quem os compartilhamos e a revogação do consentimento, quando ele for a base. Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

• Sem precisar nos escrever: em Minha conta você baixa os seus dados em JSON e exclui a conta.
• Para o resto: escreva para contato@assertlab.com. Podemos pedir que você confirme a sua identidade antes de atender.

8. Cookies e armazenamento no seu aparelho

• Um cookie de sessão, necessário para manter você conectado. Sem ele não há login.
• A sua escolha de tema (claro, escuro ou do sistema), guardada no próprio navegador.
• A verificação anti-robô da Cloudflare, que pode usar armazenamento próprio durante a entrada.
• O aplicativo instalável (PWA) guarda em cache apenas arquivos públicos e a tela “Sem conexão”; nenhum dado seu.

Não usamos cookies de publicidade nem ferramentas de análise ou rastreamento.

9. Idade mínima

O serviço é para pessoas com 18 anos ou mais. Se você acha que uma pessoa mais nova criou uma conta, avise o contato para que ela seja excluída.

10. Segurança

Adotamos medidas como conexão cifrada, códigos guardados só como hash, limite de tentativas, verificação anti-robô, isolamento dos dados entre workspaces e controle de acesso por função. Nenhum sistema é totalmente seguro. Se houver um incidente que possa causar risco relevante a você, avisaremos as pessoas afetadas e a ANPD, quando a lei exigir.

11. Mudanças nesta política

A versão e a data ficam no topo desta página e na tela de entrada. Mudanças importantes serão avisadas no aplicativo ou por e-mail. Os Termos de Uso complementam esta política.