Política de Privacidade

Esta Política descreve como TICORE (TI CORE SOLUCOES EM TECNOLOGIA DA INFORMACAO LTDA, CNPJ 64.659.589/0001-17) (“TICORE”) trata dados pessoais na plataforma ticoreSign, em conformidade com a Lei 13.709/2018 (LGPD) e com o Marco Civil da Internet (Lei 12.965/2014). Contato para assuntos de privacidade: contato@ticore.com.br (veja o item 14).

• Controladora: para os dados de cadastro e conta dos usuários, de uso e segurança da plataforma e de contratação e cobrança dos planos.
• Operadora: para os documentos enviados pelas empresas clientes e para os dados dos signatários desses documentos, tratados por ordem da empresa que os enviou, que é a controladora.
• Operadora também para as respostas e os anexos enviados por meio dos formulários públicos que as empresas clientes publicam na plataforma, para a agenda de contatos e para os dados das partes nos contratos gerados a partir de modelos: a empresa cliente que os insere ou recebe é a controladora.

Quando atuamos como operadora, tratamos os dados conforme as instruções da empresa cliente, dadas pelo uso da plataforma e pelos Termos de Uso, e a ela cabe definir a base legal e informar os titulares.

• Cadastro, contratação e cobrança dos planos e gestão da conta da empresa cliente e dos seus usuários: procedimentos preliminares e execução de contrato (art. 7º, V).
• Prestar o serviço por ordem da empresa cliente (enviar documentos, colher assinaturas, gerar trilhas e contratos, receber respostas de formulários): a TICORE atua como operadora; a base legal é definida pela empresa cliente, como controladora.
• Comprovar a autoria e a integridade das assinaturas e guardar a trilha de auditoria: cumprimento de obrigação legal e regulatória e exercício regular de direitos (art. 7º, II e VI), com base na MP 2.200-2/2001 e na Lei 14.063/2020.
• Segurança, prevenção a fraude e a abuso, registros de acesso e investigação de incidentes: legítimo interesse (art. 7º, IX) e obrigação legal de guarda de registros de acesso (Marco Civil, art. 15).
• Localização aproximada do signatário (precisão de cerca de 1 km): consentimento (art. 7º, I), dado na permissão solicitada pelo navegador no momento da assinatura e revogável a qualquer momento nas configurações do navegador; a recusa não impede a assinatura. A localização não é inferida pela rede nem pelo endereço IP.
• Comunicações operacionais (convites para assinar, códigos de verificação, avisos de conclusão, avisos no portal sobre pagamento e sobre alterações dos Termos): execução de contrato. Não enviamos comunicação de marketing sem consentimento.
• Resumo e análise com inteligência artificial: feitos apenas a pedido de quem usa o recurso. No portal, execução de contrato com a empresa cliente. Para signatários, a TICORE atua como operadora: o recurso só fica disponível se a empresa remetente o ativar, e cabe a ela, como controladora, informar seus signatários e definir a base legal.
• Preenchimento de endereço e dados da empresa a partir do CEP ou do CNPJ informado: execução de contrato, a pedido do usuário.
• Melhoria da plataforma, com dados agregados e sem identificação: legítimo interesse.

Usamos apenas cookies estritamente necessários ao funcionamento e à segurança do serviço:

• tcs_session: mantém o usuário autenticado no portal. Expira em 7 dias; o logout o remove do navegador.
• tcs_sign: gravado na página de assinatura depois que o signatário confirma o código de verificação (nos níveis de assinatura que exigem código), para identificar a sessão de assinatura. Dura 1 hora.
• Cookies da Stripe: gravados pela Stripe na página de pagamento, para processar a cobrança e prevenir fraude.
• Cloudflare Turnstile: no cadastro, quando a verificação está ativada, usa dados técnicos do navegador para distinguir pessoas de robôs e acessos automatizados.

Não usamos cookies de rastreamento nem de publicidade. O armazenamento local do navegador guarda apenas preferências de tela: filtros e favoritos de relatórios (identificados pelo e-mail do usuário) e a dispensa de avisos de nova versão destes textos. Esses dados ficam só no seu navegador e podem ser apagados nas configurações dele.

Compartilhamos dados apenas na medida necessária à prestação do serviço, com:

• Stripe Payments: processamento dos pagamentos por cartão. A Stripe recebe os dados do cartão diretamente do titular e, de nós, o nome, o e-mail de contato e o CNPJ da empresa; nos devolve identificadores e a situação da cobrança. A Stripe é certificada PCI DSS nível 1 e tem política de privacidade própria.
• Provedor de e-mail transacional (servidor SMTP configurado pela TICORE): envio de convites de assinatura, códigos de verificação e avisos.
• Anthropic, PBC (Estados Unidos): provedor de inteligência artificial usado no resumo e na análise de documentos com IA. Recebe o conteúdo enviado e, quando houver, a pergunta feita, somente quando o recurso é usado: no portal, quando um usuário da empresa pede a análise de um documento (o conteúdo do documento), o resumo de relatórios (dados do relatório, como nomes dos usuários e motivos de recusa informados pelos signatários) ou a importação e sugestão de contratos com IA (o texto colado ou o modelo); para signatários, apenas se a empresa remetente tiver ativado o resumo com IA e o próprio signatário pedir o resumo. Conforme os termos comerciais da Anthropic, os dados enviados pela API não são usados para treinar os modelos do provedor e são apagados pelo provedor em até 30 dias, salvo conteúdo sinalizado pelos sistemas de segurança dele, que pode ser guardado por até 2 anos.
• Sentry: monitoramento de erros e falhas da plataforma, quando ativado. O registro de um erro inclui a mensagem do erro, a página em que ocorreu e informações técnicas de diagnóstico (pilha de execução). Não enviamos cabeçalhos, cookies, endereço IP nem identificação do usuário, mas a mensagem técnica do erro pode, eventualmente, conter algum dado pessoal.
• Cloudflare Turnstile: proteção contra robôs e acessos automatizados no cadastro, quando ativado. Recebe o endereço IP e dados técnicos do navegador para distinguir pessoas de robôs.
• Google Fonts: fornece as fontes tipográficas das páginas, inclusive a de assinatura. Ao carregar a página, o navegador requisita as fontes ao Google, que recebe o endereço IP e o navegador do visitante.
• ViaCEP e BrasilAPI: consulta de endereço pelo CEP e de dados cadastrais pelo CNPJ, quando o usuário pede o preenchimento automático. Recebem apenas o CEP ou o CNPJ consultado.
• Redoc (cdn.redoc.ly): biblioteca da página de documentação da API, carregada pelo navegador de quem a visita, que recebe o endereço IP e o navegador.
• Provedor de hospedagem (Hostinger): infraestrutura onde a plataforma, os documentos e as cópias de segurança ficam armazenados, em servidores localizados fora do Brasil.
• Autoridades públicas, quando houver obrigação legal ou ordem judicial.
• A empresa que enviou o documento, que recebe os dados dos seus signatários e a trilha de auditoria, na condição de controladora, inclusive nos sistemas que ela indicar por webhook ou pela API.
• Os demais participantes do envelope e quem tiver o link de validação: o manifesto de assinatura incluído no documento final, enviado a todos os participantes do envelope, contém nome, e-mail, data e hora, endereço IP e localização aproximada (cerca de 1 km, quando permitida) de cada signatário, para comprovar a autoria e a integridade da assinatura. Quem tiver acesso ao link ou ao QR Code de validação impresso no documento também vê esses dados.

Não vendemos dados pessoais nem os cedemos para fins de publicidade.

A plataforma é hospedada em servidores localizados fora do Brasil: documentos, trilhas de auditoria e dados de conta são armazenados lá. O processamento de pagamentos pela Stripe, o envio de e-mails, o monitoramento de erros pelo Sentry, a verificação do Cloudflare Turnstile e o fornecimento de fontes pelo Google também envolvem tratamento fora do Brasil. Quando um recurso de inteligência artificial é usado, o conteúdo enviado vai ao provedor de IA Anthropic, que armazena os dados nos Estados Unidos e pode processá-los em outros países onde opera infraestrutura (Europa, Ásia e Austrália), para gerar o resumo ou a resposta. Essas transferências se apoiam nos instrumentos contratuais de proteção de dados oferecidos por esses provedores (como o adendo de proteção de dados da Anthropic, com cláusulas contratuais padrão) e nas garantias de segurança que oferecem, nos termos do art. 33 da LGPD. Os dados continuam sujeitos à LGPD e a esta Política onde quer que estejam.

• Conta e dados da empresa: enquanto a conta existir. Após o cancelamento do plano, a conta permanece em modo de consulta, com os documentos disponíveis para download. A exclusão definitiva é feita mediante solicitação pelo e-mail do item 14, ressalvados os dados que a lei obrigue a guardar.
• Documentos e trilhas de auditoria: enquanto a empresa cliente os mantiver. Envelopes com ao menos uma assinatura não podem ser excluídos pelo portal, porque são prova da empresa e da contraparte.
• Lixeira de envelopes: envelopes sem assinatura movidos para a lixeira são excluídos automaticamente, com seus arquivos, depois do prazo configurado pela empresa (30 dias por padrão). A empresa pode alterar esse prazo ou desligar a exclusão automática. Documentos assinados não vão para a lixeira.
• Resumo com IA gerado para o signatário e análises com IA pedidas no portal: ficam guardados junto ao envelope ou na conta da empresa, para não gerar custo repetido a cada consulta, enquanto existirem.
• Registros de acesso (IP, data e hora): pelo menos 6 meses, conforme o art. 15 do Marco Civil da Internet. Hoje não há exclusão automática ao fim desse prazo: os registros são mantidos enquanto a conta existir.
• Dados de cobrança e faturas: pelo menos 5 anos, por obrigação fiscal e contábil.
• Cópias de segurança: feitas periodicamente e guardadas no próprio servidor. As cópias automáticas são substituídas em ciclos; cópias avulsas, geradas para manutenção, podem permanecer por mais tempo. Dados excluídos podem continuar nessas cópias até que sejam substituídas ou apagadas.

Os prazos de retenção praticados pelos provedores do item 5 seguem as políticas deles.

• Comunicação criptografada (TLS) em todas as páginas da plataforma e nas integrações que a TICORE controla.
• Senhas armazenadas apenas como hash (bcrypt); controle de acesso por papéis e permissões; a sessão é conferida no servidor a cada requisição (usuário ativo, papel e empresa).
• A sequência de eventos da trilha de auditoria é encadeada por hash, e sua integridade pode ser conferida na página pública de validação.
• Cópias de segurança periódicas e aplicação executada em contêiner com privilégios reduzidos.
• Monitoramento de erros e de falhas de entrega das integrações, com alerta à equipe responsável.

Nos termos do art. 18 da LGPD, o titular pode solicitar:

• confirmação da existência de tratamento e acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• portabilidade dos dados a outro fornecedor, observados os segredos comercial e industrial;
• eliminação dos dados tratados com base no consentimento, ressalvadas as hipóteses de guarda previstas em lei;
• informação sobre as entidades com as quais os dados foram compartilhados;
• informação sobre a possibilidade de não fornecer consentimento e as consequências da negativa, e revogação do consentimento;
• oposição a tratamento feito com base em outra hipótese legal, em caso de descumprimento da LGPD.

Os pedidos são feitos pelo e-mail contato@ticore.com.br. Podemos pedir informações para confirmar a identidade de quem solicita. A confirmação de existência e o acesso aos dados são respondidos em até 15 dias, conforme o art. 19 da LGPD. Usuários podem corrigir os próprios dados de perfil diretamente no portal, e a empresa cliente pode corrigir ou excluir contatos, membros e respostas de formulários. Pedidos de signatários relativos a documentos enviados por uma empresa cliente são encaminhados a ela, que é a controladora desses dados, e a TICORE colabora para o atendimento. O titular também pode peticionar à Autoridade Nacional de Proteção de Dados (ANPD).

Como o pedido é atendido no portal: administradores e proprietários da empresa cliente localizam pelo e-mail os registros de uma pessoa na própria empresa (cadastro de usuário, participação como signatário, respostas de formulários e contatos), exportam esses registros em arquivo JSON e podem anonimizá-los. A anonimização substitui nome, e-mail, CPF, telefone, IP e respostas por um marcador e apaga as imagens de assinatura e os anexos correspondentes; os dados de quem assinou um documento são preservados junto ao documento e à trilha de auditoria, por obrigação legal. Cada consulta, exportação e anonimização fica registrada. O usuário pode excluir a própria conta no perfil: a conta é desativada na hora, a foto e a assinatura salva são apagadas e um administrador da empresa conclui a exclusão do cadastro; o único proprietário de uma empresa precisa antes transferir a propriedade ou pedir o encerramento da empresa.

Seus dados foram informados pela empresa que enviou o documento e coletados durante a assinatura para comprovar quem assinou, quando e de onde. A TICORE os trata como operadora, por ordem dessa empresa, e os mantém junto ao documento e à trilha de auditoria pelo tempo indicado no item 7. Você pode exercer seus direitos junto à empresa que enviou o documento ou pelo e-mail do item 14.

A plataforma não é destinada a menores de 18 anos e não verifica a idade de quem a usa. Documentos que envolvam menores devem ser assinados pelos seus representantes legais, sob responsabilidade da empresa que os envia.

Incidentes que possam acarretar risco ou dano relevante aos titulares são comunicados à Autoridade Nacional de Proteção de Dados e aos titulares afetados, nos termos do art. 48 da LGPD, com a descrição do ocorrido, dos dados envolvidos e das medidas adotadas. Quando o incidente atingir dados que tratamos como operadora, avisamos a empresa cliente controladora para que ela faça as comunicações que lhe cabem.

Alterações relevantes são comunicadas por aviso na plataforma e, quando aplicável, por e-mail, com ao menos 30 dias de antecedência. A versão vigente fica sempre publicada nesta página, com a data de início de vigência, e as versões anteriores, quando houver, continuam disponíveis para consulta. Toda contratação de plano exige o aceite da versão então vigente desta Política e dos Termos de Uso.

A função de encarregado pelo tratamento de dados pessoais (DPO) é exercida pela própria TICORE, pelo e-mail contato@ticore.com.br, canal para pedidos de titulares, dúvidas sobre esta Política e comunicações da ANPD. Controladora: TICORE, TI CORE SOLUCOES EM TECNOLOGIA DA INFORMACAO LTDA, CNPJ 64.659.589/0001-17.