Política de privacidade

1. Quem somos

O PrazoOn é um sistema de gestão de contas a pagar e a receber para múltiplas empresas, desenvolvido e operado por [PrazoOn / pessoa jurídica responsável: a confirmar com o jurídico]. Esta política descreve como coletamos, usamos e protegemos os dados pessoais dos usuários da plataforma, em conformidade com a Lei Geral de Proteção de Dados (LGPD, Lei n. 13.709/2018).

Dois papéis diferentes. Em relação aos dados dos usuários da plataforma (quem faz login), o PrazoOn atua como controlador. Em relação aos dados de terceiros que a empresa cliente cadastra (fornecedores e clientes finais: nome, CPF ou CNPJ, e-mail, telefone, endereço, valores devidos), a empresa cliente é a controladora e o PrazoOn atua como operador, tratando esses dados somente para prestar o serviço. Se você é cliente ou fornecedor de uma empresa que usa o PrazoOn e quer exercer seus direitos, procure primeiro essa empresa; você também pode usar o formulário DPO, e encaminharemos o pedido à controladora.

2. Bases legais (Art. 7 LGPD)

O tratamento de dados pessoais no PrazoOn é fundamentado nas seguintes bases:

• Execução de contrato (Art. 7, V): para criar e gerenciar sua conta, processar pagamentos e operar as funcionalidades da plataforma.
• Interesse legítimo (Art. 7, IX): para segurança da plataforma, prevenção a fraudes, auditoria de acesso e melhoria do serviço.
• Cumprimento de obrigação legal (Art. 7, II): para retenção de registros fiscais e contábeis conforme legislação brasileira.
• Consentimento (Art. 7, I): para comunicações opcionais e situações em que nenhuma outra base se aplique. O consentimento pode ser revogado a qualquer momento via formulário DPO.

3. Quais dados coletamos

• Dados de cadastro: nome, endereço de e-mail e informações da empresa (razão social, CNPJ) fornecidos no momento do convite ou registro.
• Dados operacionais: contas a pagar e a receber, parcelas, recebimentos, categorias, contas bancárias (banco, agência e número da conta) e comprovantes ou notas fiscais inseridos por você na plataforma.
• Dados de terceiros cadastrados pela empresa cliente: contatos (fornecedores e clientes finais) com nome ou razão social, CPF ou CNPJ, e-mail, telefone, endereço e inscrições fiscais.
• Dados técnicos: logs de acesso (endereço IP, user-agent, data e hora), tentativas de login (e-mail e endereço IP, para proteção contra força bruta), registros de ações da equipe PrazoOn e logs de auditoria das ações feitas dentro de cada empresa.

4. Sub-operadores

O PrazoOn utiliza os seguintes fornecedores de infraestrutura que podem processar seus dados:

• Resend (envio de e-mail transacional): Política de privacidade da Resend
• AWS S3 (armazenamento de comprovantes e de backups, região São Paulo): Política de privacidade da AWS
• Neon (banco de dados PostgreSQL): Política de privacidade da Neon
• AWS Amplify, Lambda e Secrets Manager (hospedagem da aplicação e rotinas agendadas, região São Paulo): Política de privacidade da AWS
• GitHub Actions (GitHub, Inc., Estados Unidos). Executa a cópia de segurança diária do banco de dados: o conteúdo do banco passa, de forma temporária e criptografada em trânsito, por um executor do GitHub antes de ser gravado no nosso bucket de backups na AWS. Nada fica armazenado no GitHub: Declaração de privacidade do GitHub

Todos os sub-operadores estão sujeitos a contratos que exigem proteção adequada dos dados conforme a LGPD e regulamentos equivalentes.

5. Direitos do titular (Art. 18 LGPD)

Você tem os seguintes direitos em relação aos seus dados pessoais:

• Acesso (Art. 18, II): consulte seus dados via GET /api/me.
• Correção (Art. 18, III): atualize nome e e-mail em Configurações, Meu perfil; para outros campos, use o formulário DPO.
• Portabilidade (Art. 18, V): exporte seus dados em formato estruturado via GET /api/me/export.
• Eliminação (Art. 18, VI): solicite o encerramento da sua conta em Configurações, Encerrar perfil. Para empresas, veja a seção de Retenção abaixo.
• Informação sobre compartilhamento (Art. 18, VII): veja a seção Sub-operadores acima.
• Revogação de consentimento (Art. 18, IX): use o formulário DPO ou acesse Configurações, Encerrar perfil.

Para exercer qualquer direito, entre em contato com nosso Encarregado via formulário DPO ou pelo e-mail dpo@prazoon.com.br. Prazo de resposta: 15 dias úteis (Art. 19 LGPD).

6. Retenção e eliminação de dados

• Empresa ativa: contas, parcelas, contatos, comprovantes, log de auditoria e registros de acesso são mantidos enquanto a empresa estiver ativa (bases legais: execução de contrato e cumprimento de obrigação legal, Art. 7, II e V). Os documentos anexados (notas fiscais, contratos e comprovantes) ficam guardados pelo prazo legal de guarda de documentos fiscais e contábeis (5 anos). O administrador pode baixar todos os documentos a qualquer momento em Configurações, Exportar documentos.
• Empresa encerrada ou suspensa: ao encerrar, o acesso é suspenso. Os dados e documentos não são apagados no encerramento: ficam guardados pelo prazo legal de guarda de documentos fiscais e contábeis (5 anos), com base no cumprimento de obrigação legal (LGPD, Art. 16, I). Depois desse prazo, ou mediante solicitação ao Encarregado quando não houver obrigação de guarda, os dados são eliminados. Durante 15 dias o próprio administrador pode cancelar o encerramento pelo link enviado por e-mail; depois disso, a reativação é feita pelo suporte. Antes de encerrar, o administrador pode baixar todos os documentos em Configurações, Exportar documentos.
• O que a eliminação abrange, quando ocorre: todas as contas a pagar e a receber, parcelas, recebimentos, contatos, categorias, contas bancárias, convites, vínculos de usuários, o log de auditoria da empresa e os registros de acesso da equipe PrazoOn àquela empresa; e todos os arquivos da empresa no armazenamento, incluindo versões anteriores. Usuários que pertenciam somente a essa empresa têm os dados de identificação anonimizados e perdem o acesso. Contatos e categorias que estavam compartilhados e continuam em uso por outra empresa do mesmo grupo permanecem com a empresa que os utiliza. Não há eliminação automática por decurso de prazo após o encerramento: ela só é executada depois do prazo de guarda ou a pedido, nas condições acima.
• O que permanece depois da eliminação: um único registro interno da operação, com o nome e o CNPJ da empresa, a data, quem executou e a quantidade de itens eliminados, para comprovar que a eliminação ocorreu.
• Anexos excluídos no dia a dia: somente o administrador da empresa pode excluir um anexo. Quando um anexo é removido, ou quando uma conta ou parcela com anexos é excluída, o arquivo sai da conta, mas continua guardado pelo prazo legal de 5 anos e pode ser baixado pelo administrador em Administração, Arquivos excluídos. Arquivos enviados e nunca vinculados a uma conta (envio abandonado) são descartados automaticamente depois de 72 horas.
• Cópias de segurança (backups): fazemos uma cópia diária do banco de dados, armazenada de forma criptografada, com acesso restrito, por até 7 anos, além da janela de recuperação contínua do provedor do banco (de 1 a 30 dias, conforme o plano contratado). Dados eliminados da plataforma continuam existindo nessas cópias até que elas expirem. As cópias são usadas apenas para recuperação de desastre, e nosso procedimento de recuperação prevê refazer as eliminações já realizadas caso uma cópia precise ser restaurada.
• Encerramento de conta de usuário: os dados de identificação do usuário (nome e e-mail) são anonimizados e as credenciais são apagadas; contribuições históricas (contas e parcelas que ele registrou, entradas do log de auditoria) são mantidas para a integridade dos registros da empresa. Acesse Configurações, Encerrar perfil ou use o formulário DPO.
• Tentativas de login: e-mail e endereço IP das tentativas são registrados apenas para bloquear ataques de força bruta. Os registros de um usuário são apagados quando ele é anonimizado na eliminação da empresa.

6-A. E-mails automáticos

• Transacionais: convite, redefinição de senha e avisos de encerramento de empresa. São necessários ao funcionamento do serviço.
• Resumo diário de contas: enviado em dias úteis somente a usuários ativos que tiveram essa opção habilitada para a empresa, e nunca para empresas suspensas. Todo resumo traz um link de cancelamento, que pede confirmação em uma página e funciona sem login; também é possível desativar em Usuários, Editar.
• Lembretes de cobrança para clientes finais: o envio automático de lembretes de vencimento aos clientes das empresas usuárias está desativado. O PrazoOn não envia hoje nenhum e-mail a clientes finais. Se esse recurso for ativado no futuro, dependerá de habilitação expressa pela empresa controladora, e esta política será atualizada antes.

8. Acesso da equipe PrazoOn aos seus dados

A equipe PrazoOn acessa dados de clientes apenas em chamados de suporte expressamente iniciados pelo cliente. Cada acesso é registrado automaticamente com a justificativa do operador (mínimo 10 caracteres). Você pode visualizar todos os registros de acesso em Configurações, Auditoria de acesso.

9. Transferência internacional de dados (Art. 33 a 36 LGPD)

Seus dados podem ser processados em servidores localizados fora do Brasil pelos sub-operadores listados na seção 4. O banco de dados, os arquivos e a aplicação ficam na região de São Paulo; o envio de e-mails (Resend) e a execução da cópia de segurança (GitHub Actions) ocorrem nos Estados Unidos. No site institucional, e só se você aceitar os cookies de estatística e de marketing (seção 7), o Google e a Meta também tratam dados de navegação fora do Brasil. Esses operadores aderem a salvaguardas equivalentes por meio de contratos-padrão e políticas de privacidade compatíveis com legislações de proteção de dados internacionais (GDPR, CCPA e equivalentes). Para solicitar mais detalhes sobre garantias de transferência internacional, entre em contato com nosso Encarregado via formulário DPO.

10. Encarregado pelo Tratamento de Dados, DPO (Art. 41 LGPD)

Nos termos do Art. 41 da LGPD e da Resolução ANPD n. 2/2022 (simplificação para pequenas empresas), o Encarregado pelo Tratamento de Dados é:

Peixoto Consultoria TI
E-mail: dpo@prazoon.com.br
Formulário: /contato-dpo
Prazo de resposta: 15 dias úteis.

11. Como nos contatar

Para exercer seus direitos como titular ou esclarecer dúvidas sobre esta política, utilize o formulário de contato DPO ou envie um e-mail diretamente para dpo@prazoon.com.br.

12. Alterações nesta política

Esta política pode ser atualizada periodicamente. A data de última atualização é indicada no topo desta página. Mudanças relevantes serão comunicadas por e-mail com antecedência mínima de 15 dias.

Última atualização: 23 de outubro de 2026.