Política de privacidade

1. Quem trata os seus dados

O Limiara é operado por Casheiro Tecnologia Ltda., CNPJ 68.960.279/0001-99, que é a controladora dos dados pessoais descritos nesta política e a responsável por respondê-la.

Para qualquer assunto relacionado a esta política — inclusive pedidos de acesso, correção, portabilidade ou exclusão —, o contato é contato@limiara.com.

Esta política segue a Lei Geral de Proteção de Dados (Lei 13.709/2018). Ela vale para o site e para a aplicação, e é escrita em termos do que o sistema faz, não em fórmulas genéricas.

2. O que coletamos

Da sua conta

Você entra de um de dois jeitos.

Pelo Google: recebemos dele nome, e-mail, foto de perfil e idioma, mais um identificador permanente da sua conta Google. Guardamos também qual provedor foi usado e se ele afirmou ter verificado o e-mail. Não recebemos nem armazenamos a sua senha do Google, e não temos acesso a nada além desses campos.

Com e-mail e senha: guardamos o nome e o e-mail que você informa. A conta só é criada depois que você digita o código de 6 dígitos que mandamos para esse e-mail; até lá, guardamos apenas o e-mail e o hash do código, por no máximo uma hora — o nome e a senha só chegam junto com o código. Da senha guardamos apenas o hash (Argon2id), nunca a senha em si: nem quem opera o Limiara consegue lê-la. Quem entra pelo Google pode criar uma senha em Sua conta para entrar também com ela.

Se você pedir um link para criar uma senha nova, guardamos o hash dele, que vale 30 minutos e funciona uma vez. Para frear quem tenta adivinhar senha ou usar o Limiara para disparar e-mail, contamos por 24 horas as tentativas erradas e os envios — cada um identificado por um hash, com um segredo nosso, do e-mail e da rede de onde veio o pedido, e não pelo e-mail ou pelo endereço IP em claro.

Da sua sessão

Para manter você conectado e permitir encerrar o acesso, guardamos por sessão: data de criação, último uso, prazo de validade e o navegador informado (user-agent). O seu endereço IP não é gravado.

O identificador da sessão que vai no seu navegador é guardado apenas como hash: quem obtivesse uma cópia do nosso banco não conseguiria entrar na sua conta com ela.

Dos convites

Quem administra uma organização pode convidar outra pessoa pelo e-mail. Guardamos, no registro do convite, o e-mail convidado, o papel oferecido e quem convidou. O convite vale 14 dias.

O e-mail do convite leva o nome de quem convidou, o nome da organização, o papel e o link para aceitar, e pode trazer um bloco curto sobre o próprio Limiara, com links para o site. Ele não tem rastreamento de abertura nem de clique, e não leva anúncio de terceiros. Se você recebeu um convite que não esperava, ignore: sem aceitar, nada acontece.

Do que você escreve

O conteúdo dos seus projetos — nomes, descrições, unidades, itens, valores, fontes, anotações e documentos gerados. Isso é seu, e existe porque é o objeto do serviço.

Do registro de auditoria

Cada ação relevante (criar, editar, validar, apagar, entrar, sair) fica registrada com quem fez, quando e sobre o quê. É o que permite responder “de onde veio este número” — a razão de ser do produto.

Da sua assinatura

Se a sua organização contratar um plano pago, guardamos o registro do contrato — plano, valor acordado, método escolhido, datas do ciclo e o histórico de cobranças — e o identificador que o provedor de pagamento nos devolve. Guardamos também, por até doze meses, o conteúdo bruto das notificações que o provedor nos envia: é o que permite resolver uma divergência sobre um pagamento depois.

Se você comprar um pacote avulso de crédito, ele é pago por Pix: enviamos ao provedor de pagamento o seu primeiro nome e o e-mail da sua conta, para que ele emita a cobrança, e o código do Pix aparece na tela do plano, dentro do Limiara. Guardamos a cobrança (valor, situação, datas), o crédito que ela gerou e a validade dele. Esses registros são de dinheiro: ficam mesmo depois da exclusão da conta ou da organização, sem o seu nome — servem à obrigação fiscal e a uma eventual contestação do pagamento.

Da desistência com reembolso, se você desistir

Se você desistir de uma assinatura no prazo de arrependimento, guardamos o registro do pedido — quem pediu, quando, o valor, o uso de IA no período e como o dinheiro volta. Quando o meio de pagamento não permite estorno (o boleto), pedimos a chave Pix de uma conta em seu nome para devolver o valor. Ela é usada só para essa devolução, guardada cifrada, vista apenas por quem opera o pagamento e apagada quando a devolução é registrada (ou quando a recusamos por não ser do titular — aí pedimos outra). Fica só um resumo mascarado dela, com o identificador do Pix, como prova de para onde o dinheiro foi, por 5 anos depois da devolução — mesmo que a conta ou a organização seja excluída antes. A chave não vai para registros de auditoria nem para os nossos logs. Se a devolução não puder ser feita (nenhuma chave serve, ou não há resposta), encerramos o pedido de Pix: a chave é apagada e o valor continua devido. Enquanto a sua conta existir, você informa outra chave na tela do plano; depois de excluída, pelo canal de contato (contato@limiara.com). Se quiser que a chave seja apagada antes da devolução, peça por esse mesmo canal: quem opera o pagamento a apaga (não há botão para isso na tela), e o valor continua devido do mesmo jeito.

Da ajuda dentro da tela

A aba Ajuda do Post-it responde pelo manual, sem inteligência artificial. Quando ela não acha a resposta — ou quando você diz que a resposta não resolveu —, anotamos a pergunta para escrever a ajuda que faltou: só o texto da pergunta e a tela em que ela foi feita, o dia e, quando a resposta não resolveu, qual ficha do manual foi essa. Não guardamos quem perguntou — nem a conta, nem a organização, nem o projeto, nem a hora. Antes de guardar, o que tem a forma de e-mail, telefone, CPF, CNPJ ou número longo é trocado por uma marca; um nome não tem forma e passaria, por isso não escreva nomes nem dados de clientes na pergunta. Quem lê essas perguntas é a equipe que opera a plataforma, por 90 dias. O Post-it das páginas públicas, para quem ainda não entrou, responde pelo mesmo manual e não anota nada do que for perguntado.

Do conector, se você o usar

Se a sua organização tiver o conector para assistentes externos e você criar uma credencial, guardamos os dados dessa credencial e uma contagem de uso — sem o conteúdo entregue —, e os rascunhos de projeto que o assistente montar a seu pedido. O detalhe está na seção 5.

3. O que NÃO coletamos

• Senhas em claro. A da conta com e-mail e senha fica só como hash; a do Google nunca chega até nós.
• Número de cartão, CVV ou dados bancários. O cartão e o boleto são pagos inteiramente no ambiente do provedor: você é levado até ele, paga lá, e ele nos devolve apenas o resultado. O Pix do pacote avulso é pago no aplicativo do seu banco, a partir do código que mostramos. Esses dados nunca passam pelos nossos servidores, em nenhum dos casos.
• Cookies de publicidade, rastreadores de terceiros ou perfilamento comportamental.
• Seu endereço IP: ele não é gravado, nem em claro nem cifrado. O freio de tentativas da conta com senha guarda por 24 horas só um hash, com um segredo nosso, da rede de onde veio o pedido — do qual não se recupera o endereço.

4. Com quem compartilhamos

O Limiara se apoia em serviços de terceiros. Cada um recebe apenas o necessário para a função que executa:

Vale destacar a terceira linha. Ao pedir que a IA desenvolva itens, pesquise preços ou revise um texto, o conteúdo do projeto envolvido é enviado ao provedor de IA escolhido. Se houver informação que não deva sair da sua organização, não a submeta a essas ações — o restante do produto (estrutura, memorial, cronograma, dossiê) funciona sem IA nenhuma.

Chave de IA própria (BYOK). Uma organização pode cadastrar a própria chave de API do provedor de IA. Quando ela existe, as chamadas passam a ser feitas com essa credencial: o conteúdo enviado deixa de transitar pela nossa conta no provedor e passa a transitar pela conta da organização, sujeito aos termos, à retenção e às políticas de treinamento acordados entre ela e o provedor — não mais entre nós e o provedor. A chave é guardada cifrada e nunca é exibida de volta; ela pode ser removida a qualquer momento, e as chamadas voltam a usar a nossa conta.

Como o pagamento funciona. Não processamos cobrança dentro do Limiara: ao contratar um plano, você é levado ao ambiente do provedor de pagamento, paga lá, e ele nos informa apenas o resultado. Na compra de um pacote avulso de crédito, o provedor emite o Pix e nós mostramos o código na tela do plano; você paga no aplicativo do seu banco, e o provedor nos informa o resultado. Isso é deliberado — é o que faz o número do seu cartão nunca tocar os nossos servidores. Quem opera a plataforma escolhe qual provedor atende cada método (Pix, cartão, boleto); a página de planos e a tela de assinatura mostram qual está em uso no momento da contratação.

Não vendemos dados pessoais e não os compartilhamos para fins de marketing.

5. Assistentes externos (conector)

O conector permite que um assistente de IA que você já usa — Claude Code, Cursor, Codex, Gemini CLI ou outro compatível com o protocolo MCP — consulte os seus projetos no Limiara a seu pedido. Ele só funciona quando o plano da sua organização o inclui, e só depois que você cria uma credencial e a configura no assistente. Sem isso, nada sai por este caminho.

Assistentes como o ChatGPT (da OpenAI) e o claude.ai (da Anthropic) se conectam de outro jeito, sem você copiar credencial nenhuma: o próprio assistente abre uma tela de autorização do Limiara, que mostra quem está pedindo, para onde a resposta volta e o que ele poderá fazer; você escolhe a organização, os projetos e as permissões, e autoriza ou recusa. Autorizar cria uma credencial como as outras, com o nome do assistente — ela aparece na sua lista, conta no limite do plano e se revoga do mesmo jeito.

Além de ler, o conector pode montar rascunhos de projeto novo, se a credencial tiver esse escopo. O rascunho fica guardado no Limiara, visível só para você — nem quem administra a organização o vê —, até você criar o projeto a partir dele, no Limiara, ou descartá-lo; sem edição, ele vence (o prazo está na seção 8). Criar o projeto é sempre um clique seu.

Com o escopo de escrita, o conector também escreve nos projetos que a credencial alcança: declara características e termos do vocabulário, acrescenta naturezas, fases, premissas, unidades e itens e propõe preços. Tudo o que ele grava fica marcado como vindo do conector, e duas regras valem sempre: o que uma pessoa declarou não é sobrescrito nem apagado por ele — característica, termo ou premissa —, e nada do que ele grava vira orçamento aprovado — item, preço e premissa entram a validar, e validar é de uma pessoa, na tela.

A estrutura do projeto é outra coisa: ele pode reorganizá-la em seu nome, inclusive a que uma pessoa montou — renomear unidades e mudar a finalidade, a fase, as atividades, o bloco, a área e a marca de sistema de apoio delas; acrescentar, renomear e remover fases; e mover entre unidades os itens que ele criou. Remover, só o que está vazio: a fase sem unidade nem item, e a unidade sem nada de uma pessoa nem nada validado dentro. Item e preço, não: ele só corrige ou desfaz os que ele mesmo gravou e ninguém validou — item e preço que uma pessoa criou ou validou, ele não altera nem apaga. Toda escrita, inclusive na estrutura, fica no registro de auditoria com a credencial e a pessoa responsável.

Com o escopo Acionar a IA do Limiara — e só quando o plano da organização o inclui —, o assistente também pode pedir que a IA do próprio Limiara trabalhe no projeto (pesquisar preço, desenvolver uma unidade, buscar crédito, sugerir alternativas, revisar ou sintetizar), como quando você clica o botão correspondente na tela. Nesse caso o trecho do projeto necessário vai aos nossos provedores de inteligência artificial e de busca, descritos na seção 4, sob os contratos deles conosco — e não ao provedor do assistente; o trabalho gasta a franquia de IA da organização, fica registrado em seu nome com a credencial, e o que a IA traz entra a validar, como o resto. O resultado do trabalho — os achados, as propostas ou a síntese que a IA produziu — é entregue ao assistente que o pediu, e daí em diante é tratado pelo provedor dele, nos termos descritos abaixo, como qualquer outro conteúdo de projeto.

O que sai, e para quem

Quando o assistente pede, o Limiara entrega a ele o conteúdo dos projetos que a credencial alcança — por exemplo, a estrutura, os itens, os valores com as suas fontes e os textos já gerados. Esse conteúdo pode conter dados pessoais que estejam escritos no projeto, como o nome ou o e-mail de um responsável.

O destino é o provedor do assistente que você conectou — OpenAI, Anthropic, Google ou outro —, e lá o conteúdo é tratado sob o contrato entre você, ou a sua organização, e esse provedor: com os termos, a retenção e as regras de uso para treinamento dele, não os nossos. O Limiara não contrata esse provedor nem o escolhe — o provedor trabalha para você, e não para nós. Quem escolhe o assistente, cria a credencial e decide o que perguntar é você, e o Limiara não envia nada a esse provedor por iniciativa própria: ele só responde ao assistente que apresenta a sua credencial.

O que a credencial alcança

A credencial é sua e vale em uma organização: alcança todos os projetos dela ou apenas uma lista de projetos. Ela nunca dá mais do que o seu próprio papel naquela organização, e pelo conector não se gerenciam membros, plano, chave de IA nem credenciais. Um projeto fora do alcance responde como se não existisse.

O que o Limiara registra

• Da credencial: o nome que você deu a ela, a organização, o que ela pode fazer (os escopos), os projetos que alcança, quando foi criada, quando foi usada pela última vez e, se for o caso, quando foi revogada e por quem.
• Do segredo: só uma impressão criptográfica (hash). Por isso ele não pode ser exibido de novo depois de criado — nem por nós —, e quem obtivesse uma cópia do nosso banco não conseguiria usá-lo.
• Dos rascunhos: o conteúdo que o assistente montou, o título, a credencial que o criou e a identificação de software que o assistente informa (o "User-Agent", por exemplo "claude-code/2.1") — um rótulo para você reconhecer de onde veio, não uma identificação sua. Quando o rascunho vira projeto, o conteúdo sai dele na hora: passa a morar no projeto. Se você sair da organização, os seus rascunhos nela são apagados.
• Do uso, por 90 dias: quantas chamadas cada credencial fez em cada dia e quais projetos ela leu em cada dia. É a contagem, nunca o conteúdo, e serve para frear o uso abusivo e para responder o que de cada projeto foi entregue a um assistente, e quando.

Não guardamos o que foi entregue ao assistente nem a conversa que você teve com ele: a conversa acontece no assistente, fora do Limiara. O resultado de um trabalho da IA do Limiara que o assistente pediu fica guardado no projeto, como qualquer outro conteúdo dele, e acaba com o projeto.

Quem vê as credenciais

Você vê as suas, em Sua conta → Conectores. Quem administra a organização — o dono e os administradores — vê as credenciais de todas as pessoas dela: o nome dado a cada uma, o nome e o e-mail de quem a criou, os escopos, os projetos que alcança, quando foi criada, quando foi usada pela última vez e, se for o caso, quando e como foi revogada. É o que permite a quem administra cortar um acesso que não deve mais existir: não dá para revogar o que não se vê.

Isso inclui as credenciais de quem já saiu da organização. Elas são revogadas na saída e continuam na lista, com os mesmos dados, como registro de quem teve acesso e quando — até que a conta da pessoa ou a organização seja apagada. O segredo, ninguém vê: ele não é guardado.

Como cortar o acesso

Você revoga qualquer uma das suas credenciais, e quem administra a organização revoga a de qualquer pessoa dela; a revogação vale a partir da chamada seguinte. Remover uma pessoa da organização também corta o acesso: as credenciais dela deixam de valer naquela organização a partir da chamada seguinte. Uma conta suspensa por quem opera o Limiara também perde o acesso pelo conector: enquanto a suspensão durar, as credenciais dela são recusadas em todas as organizações. Revogar não desfaz o que o assistente já recebeu — isso está com o provedor dele, sob o contrato de vocês.

A conexão de um assistente pela tela de autorização vale enquanto ele for usado com regularidade: cada uso a renova, e um período sem uso a encerra (o prazo está na seção 8). O assistente também pode desconectá-la, e se um token dela for reapresentado depois de já ter sido trocado — sinal de cópia —, ela é encerrada por segurança.

A credencial que você cria e cola no assistente não expira. Ela vale até ser revogada, e quem a tiver lê tudo o que ela alcança. Guarde-a como guarda uma senha: fora de repositórios de código, de mensagens e de arquivos compartilhados. Se suspeitar que ela vazou, revogue-a e crie outra. Toda credencial começa com lmr_, o que permite reconhecê-la numa busca por segredos vazados.

Transferência internacional pelo conector

Os provedores desses assistentes costumam operar fora do Brasil. Quando é o caso, a transferência internacional (LGPD, art. 33) é iniciada por você, ou pela sua organização como controladora do conteúdo dos projetos, para o fornecedor que vocês escolheram e contrataram. Cabe a quem conecta o assistente verificar que essa transferência tem base legal e conferir as salvaguardas oferecidas por esse fornecedor.

6. Transferência internacional

Os serviços acima operam fora do Brasil — Cloudflare e Google nos Estados Unidos, DeepSeek na China, entre outros. Ao usar o Limiara, seus dados são tratados nesses países, com as salvaguardas contratuais oferecidas por cada fornecedor. A transferência feita a pedido seu, pelo conector, para o provedor de um assistente externo está descrita na seção 5.

7. Cookies e armazenamento local

Usamos apenas o estritamente necessário para o serviço funcionar:

• limiara_session — cookie da sua sessão. HttpOnly (o JavaScript da página não o lê) e SameSite=Lax. Sem ele não há como manter você conectado.
• No armazenamento do seu navegador: a última organização aberta e a sua preferência de modelo de IA. Ficam no seu dispositivo e servem para o app reabrir onde você parou.
• Também no seu navegador: o projeto que você está montando no assistente de criação e ainda não criou — para não perder o trabalho se a janela fechar —, e as alterações que você fizer num rascunho montado pelo conector. As alterações num rascunho do conector são apagadas quando você o descarta, quando cria o projeto ou depois de 30 dias sem uso.
• As conversas com o assistente do projeto (e, para quem opera a plataforma, com o assistente de operação), para você retomá-las depois de recarregar a página.
• Ao sair do Limiara, apagamos deste navegador as conversas e os projetos em montagem: eles têm conteúdo de projeto e não devem ficar para a próxima pessoa que usar o aparelho. As preferências (modelo de IA, modo de tela, última organização aberta) ficam.

Não há cookie de análise, de publicidade ou de terceiros — por isso também não existe banner de consentimento: não há nada a consentir além do essencial.

8. Por quanto tempo guardamos

• Sessão — no máximo 30 dias, ou 7 dias sem uso. Sair encerra na hora.
• Convite não aceito — 14 dias, depois expira.
• Senha — o hash, enquanto a conta tiver senha; sai na exclusão da conta. O cadastro que não foi confirmado sai em até uma hora; o link de criar senha nova vale 30 minutos; a contagem de tentativas e de envios, 24 horas. Os vencidos saem na limpeza diária.
• Conteúdo dos projetos — enquanto você o mantiver, com uma exceção: a organização gratuita que passa 12 meses sem uso, abaixo. A exclusão é imediata e definitiva: não há lixeira.
• Organização gratuita sem uso — a partir de 1º de dezembro de 2026, a organização no plano Gratuito ou sem plano, sem assinatura em curso e sem crédito vigente, que passar 12 meses sem atividade de nenhum membro — login, alteração registrada, uso de IA ou do conector — é excluída com os projetos, pelas mesmas regras da exclusão de organização. Antes, avisamos todos os membros por e-mail 30 dias antes e de novo 7 dias antes, com a data. Qualquer acesso cancela a exclusão, e a contagem dos 12 meses recomeça; quem entra depois do aviso vê na tela que a organização foi mantida. Sem os dois avisos enviados e aceitos pelo provedor de e-mail para todos os donos, nada é excluído. Se o aviso chegou a você e, depois da exclusão, a sua conta não fizer parte de nenhuma outra organização e você também não tiver entrado nos últimos 12 meses, a conta é excluída junto: o mesmo aviso vale para as duas — a não ser que você tenha comissão de indicação a receber. Organização em plano pago (inclusive com pagamento em atraso), com crédito vigente, sem dono ou bloqueada por quem opera a plataforma não é alcançada.
• Registro de auditoria — preservado mesmo depois de o projeto ser apagado. Ele é a prova de que algo aconteceu; apagá-lo junto destruiria a própria rastreabilidade que o produto existe para oferecer.
• Credencial do conector — a que você cria, enquanto não for revogada: ela não expira; a conexão de um assistente pela tela de autorização, até 30 dias depois do último uso — cada uso a renova. O pedido de autorização em si (quem pediu, para onde volta, o que você concedeu) sai um dia depois de vencer. Revogada, o registro dela (nome, datas e quem revogou) fica como prova de quem teve acesso e quando, visível a quem administra a organização, sem o segredo, que nunca foi guardado. É apagada junto com a sua conta ou com a organização.
• Contagem de uso do conector — 90 dias.
• Perguntas que a Ajuda não respondeu — 90 dias, sem nada que diga de quem são; depois, apagadas.
• Os rascunhos montados pelo conector — 30 dias depois da última edição. Ao virar projeto, o conteúdo sai do rascunho na hora, e o restante do registro sai 30 dias depois.
• A chave Pix de uma devolução — até a devolução ser registrada, a chave ser recusada ou o pedido de Pix ser encerrado sem devolução, quando é apagada (antes disso, a pedido seu por contato@limiara.com, apagada por quem opera o pagamento); o resumo mascarado dela, com o identificador do Pix, fica 5 anos depois do registro — inclusive se a conta ou a organização for excluída antes — e sai na primeira limpeza seguinte.
• Sua conta — enquanto você a mantiver, ou até ela ficar sem organização depois da exclusão por falta de uso, acima. Ao excluí-la, saem na hora o login, a senha (o hash), o nome, o e-mail, a foto, as sessões, as credenciais do conector, os convites e os seus vínculos com as organizações. As organizações em que você é a única dona saem junto, com os projetos, e a assinatura delas é cancelada no meio de pagamento antes de qualquer coisa ser apagada.
• O que fica depois da exclusão, sem o seu nome — as cobranças e o registro de consumo (a medição que sustenta a cobrança), pela obrigação legal e fiscal e pela defesa em disputa de pagamento; os eventos de pagamento da organização excluída, sem o conteúdo enviado pelo meio de pagamento; as comissões de indicação devidas a quem indicou; e o registro de auditoria, em que você passa a constar como "conta excluída" e a organização excluída como "Organização excluída". O que fica guarda identificadores internos, sem nome nem e-mail, e a referência da cobrança no meio de pagamento, que guarda os dados do pagador do lado dele. Se você participou do programa de indicação e recebeu pagamento, o nome, o CPF ou CNPJ e o destino de cada pagamento ficam por 5 anos depois do último pagamento — a obrigação fiscal de provar a quem se pagou — e saem na primeira limpeza depois desse prazo; contato, telefone, endereço e chave Pix saem na hora. O conteúdo dos projetos que continuam em organizações de outras pessoas é delas, e fica.
• Cópias de segurança — o nosso provedor de hospedagem (Cloudflare) guarda cópias do banco de dados por até 30 dias, para recuperar o serviço depois de uma falha; e, antes de uma mudança na estrutura do banco, quem opera a plataforma pode exportar uma cópia, apagada na primeira limpeza depois de 30 dias. O que é excluído — por você, por quem opera ou por falta de uso — continua nessas cópias até elas vencerem, sem acesso pelo Limiara e sem outro uso.

9. Seus direitos

A LGPD (art. 18) lhe garante confirmar a existência de tratamento, acessar seus dados, corrigir dados incompletos ou desatualizados, pedir anonimização, bloqueio ou eliminação, solicitar portabilidade e revogar consentimento.

Boa parte disso está na própria aplicação: em Sua conta você vê seus dados, encerra todas as sessões, revoga as credenciais do conector e exclui a conta inteira (Excluir minha conta: um aviso lista antes o que sai junto, e a confirmação é digitar o seu e-mail); em cada projeto você exporta o conteúdo e o exclui. Para o que não estiver na tela, escreva para contato@limiara.com — quem opera a plataforma também exclui a conta ou a organização a pedido, pelas mesmas regras.

Para manter os seus dados, não é preciso pedir nada: basta usar. A exclusão por falta de uso (seção 8) só alcança a organização gratuita sem acesso nem uso há 12 meses, e é avisada antes.

Encarregado pelo tratamento de dados: Casheiro Tecnologia Ltda., pelo canal contato@limiara.com.

10. Segurança

O acesso é sempre por HTTPS. Segredos de sessão, de convite e das credenciais do conector, as senhas, os códigos de confirmação e os links de senha nova são guardados apenas como hash. O acesso aos projetos é restrito por organização e por papel, verificado no servidor a cada requisição — a interface esconder um botão nunca é a proteção.

Nenhum sistema é imune. Se identificarmos incidente com risco relevante aos seus direitos, comunicaremos você e a ANPD, conforme a lei.

11. Mudanças nesta política

Se ela mudar, a data de revisão no topo muda junto. Alterações relevantes serão comunicadas por e-mail ou na própria aplicação antes de passarem a valer.

A conta com e-mail e senha (seções 2, 3, 4 e 8) entrou nesta revisão: ela é uma opção a mais para entrar, e nada muda para quem entra pelo Google.

A exclusão da organização gratuita sem uso (seção 8) entrou na revisão anterior e só vale a partir de 1º de dezembro de 2026: antes dessa data, nenhum aviso é enviado e nada é excluído por falta de uso.