Política de Privacidade

Esta Política de Privacidade explica como a COGNITOS SISTEMAS DE INFORMATICA LTDA (CNPJ 13.426.714/0001-08), fornecedora do Enki.APP, trata dados pessoais. Ela segue a Lei Geral de Proteção de Dados (Lei nº 13.709/2018, LGPD) e o Marco Civil da Internet (Lei nº 12.965/2014).

1. A quem esta política se aplica

Clientes e usuários do Enki.APP. Empresas que contratam o sistema e as pessoas que o usam: administradores, colaboradores, contadores e parceiros.
Visitantes dos nossos sites. Inclui as páginas institucionais, a Central de Ajuda e as páginas de cadastro.
Pessoas que falam com a Cognitos. Por exemplo, pelo WhatsApp, por e-mail ou pela equipe comercial.
Terceiros cujos dados passam pelo Enki.APP. Clientes, fornecedores e colaboradores das empresas usuárias. Para esses dados, veja a seção 2.

2. Quando somos controladores e quando somos operadores

O papel da Cognitos na LGPD muda conforme a origem do dado.

Somos controladores dos dados das empresas clientes e de seus usuários (cadastro, login, suporte e cobrança da assinatura) e dos dados de visitantes dos nossos sites. Nesses casos, somos nós que decidimos como os dados são tratados.
Somos operadores dos dados que cada empresa cadastra ou recebe dentro do Enki.APP. Isso inclui seus clientes, fornecedores, colaboradores, vendas, notas fiscais, contratos, mensagens e receitas ópticas. Nesses casos, a controladora é a empresa usuária. Tratamos esses dados apenas para prestar o serviço contratado e seguindo as instruções dela.

Se você é cliente de uma empresa que usa o Enki.APP, faça seus pedidos sobre os seus dados diretamente a essa empresa. Se nos procurar, encaminharemos o pedido a ela.

3. Dados que coletamos como controladores

Categoria	Dados	Origem
Cadastro do usuário	Nome, sobrenome, e-mail, telefone/WhatsApp e senha. A senha é armazenada apenas de forma cifrada pelo serviço de autenticação	Você, no cadastro
Cadastro da empresa	CNPJ, razão social, nome fantasia, porte, ramo de atividade e como conheceu o Enki	Você, no cadastro. Os dados públicos do CNPJ são completados por consulta à BrasilAPI
Verificação e login	Códigos de uso único enviados por e-mail ou WhatsApp. Guardamos apenas um resumo criptográfico (hash) desses códigos, nunca o código em si	Sistema
Registro de acesso	Data e hora, navegador, sistema operacional, fuso horário e idioma de cada login	Seu navegador
Segurança do dispositivo	Identificador assinado do aparelho, resumo (hash) de características técnicas do navegador (tela, processador, memória, fuso, idioma), endereço IP do primeiro e do último acesso e navegador. Coletado só quando a empresa ativa a trava de dispositivo	Seu navegador
Horário de acesso	Grade de horários permitidos definida pelo administrador da empresa	Administrador da empresa
Auditoria	Quem alterou qual registro, quando e o que mudou	Sistema
Indicação e parceria	Código de indicação ou parceiro de origem, quando o cadastro vem de um link de indicação	Link de cadastro
Suporte e comunicação	Conteúdo das conversas com a nossa equipe por WhatsApp, e-mail ou chat de ajuda	Você
Consentimento de cookies	Escolha feita no aviso de cookies, versão desta política, endereço IP e navegador	Seu navegador
Newsletter	E-mail. O IP é guardado apenas como hash	Você, ao se inscrever

Não coletamos dados de cartão de crédito dos nossos clientes.

4. Para que usamos os dados e com qual base legal

Finalidade	Base legal (LGPD)
Criar e manter a conta, autenticar o acesso e prestar o serviço contratado	Execução de contrato (art. 7º, V)
Verificar e-mail e WhatsApp e enviar códigos de login	Execução de contrato (art. 7º, V) e legítimo interesse na prevenção a fraudes (art. 7º, IX)
Proteger contas: trava de dispositivo, horário de acesso, limites de tentativas e auditoria	Legítimo interesse (art. 7º, IX) e interesse da empresa contratante
Suporte técnico e atendimento	Execução de contrato (art. 7º, V)
Cobrança da assinatura e obrigações fiscais	Execução de contrato e cumprimento de obrigação legal (art. 7º, II e V)
Monitorar erros e desempenho do sistema	Legítimo interesse (art. 7º, IX)
Entender como nos conheceram e melhorar o produto, sempre com dados agregados	Legítimo interesse (art. 7º, IX)
Enviar newsletter e comunicações de marketing	Consentimento (art. 7º, I), que você pode revogar a qualquer momento
Atender autoridades e exercer direitos em processos	Obrigação legal e exercício regular de direitos (art. 7º, II e VI)

5. Dados tratados em nome das empresas usuárias

Como operadores, armazenamos e processamos os dados que cada empresa lança no Enki.APP, conforme os módulos que ela usa. Por exemplo:

CRM, vendas, compras, financeiro, notas fiscais e contratos;
recursos humanos: colaboradores, ponto, férias e holerites;
módulo de ótica: receitas e medidas.

Algumas informações podem ser dados pessoais sensíveis, como as receitas ópticas, que são dados de saúde. Cabe à empresa usuária definir a base legal para tratá-las e informar seus titulares.

Recursos públicos que as empresas oferecem aos seus clientes também tratam dados em nome da empresa. Nesses casos a controladora também é a empresa usuária.

Assinatura eletrônica de contratos: registra nome, CPF/CNPJ, e-mail, telefone, IP, navegador, data e hora e, se o signatário autorizar no navegador, a localização. Também guarda a rubrica desenhada, quando houver. Esses registros servem como prova da assinatura.
Aprovação de propostas e ordens de serviço: pode registrar a localização, se o titular autorizar no navegador.
Loja online, cardápio digital, pesquisas de satisfação (NPS), cartão de visita e link da bio: cada empresa tem sua própria política para esses recursos.
Pupilômetro virtual: usa a câmera apenas dentro do navegador. Nenhuma imagem do rosto é gravada ou enviada aos nossos servidores. Guardamos só as medidas resultantes (distância pupilar e altura).

6. Integração com o WhatsApp (Meta)

Usamos a WhatsApp Business Platform (Cloud API) da Meta de duas formas:

Número da Cognitos: para enviar a você códigos de verificação e de login, avisos da conta e mensagens de suporte.
Número da empresa usuária: cada empresa pode conectar o próprio número ao Enki.APP para conversar com os clientes dela. Nesse caso, somos operadores e a empresa é a controladora das conversas.

Da Meta, recebemos e armazenamos o token de acesso (sempre cifrado), os identificadores da conta WhatsApp Business (WABA) e do número de telefone, as mensagens enviadas e recebidas e o status de entrega. Usamos esses dados somente para operar o envio e o recebimento de mensagens no Enki.APP. Não os vendemos, não os usamos para publicidade e não os compartilhamos com ninguém além do necessário para prestar o serviço.

A empresa pode desconectar o número a qualquer momento. Quando isso acontece, o token e os identificadores da conexão são apagados. O pedido de exclusão dos dados recebidos da Meta pode ser feito pelos canais da seção 14.

7. Inteligência artificial

Alguns recursos do Enki.APP usam modelos de inteligência artificial:

chat da Central de Ajuda;
assistentes fiscais;
leitura automática de documentos e holerites;
geração de textos e de páginas.

O conteúdo enviado a esses recursos é processado pela Anthropic. Usamos a OpenAI apenas para indexar os artigos públicos da Central de Ajuda. Esses provedores atuam como nossos suboperadores, pelas condições de uso comercial de suas APIs. Essas condições não permitem usar os dados dos clientes para treinar os modelos.

Envie a esses recursos apenas o necessário para a tarefa. Revise sempre o resultado gerado antes de usá-lo.

8. Com quem compartilhamos

Não vendemos dados pessoais. Compartilhamos dados apenas com prestadores que nos ajudam a operar o serviço, na medida do necessário:

Função	Local
Banco de dados, autenticação e armazenamento de arquivos	Brasil (São Paulo)
Hospedagem da aplicação	Brasil (São Paulo), com rede global
Execução de tarefas em segundo plano	Exterior
Controle de limite de requisições	Exterior
Monitoramento de erros. E-mail, CPF/CNPJ, telefone, cookies e credenciais são mascarados antes do envio	Exterior
Registros técnicos (logs), guardados por 30 dias	Exterior
Envio de e-mails transacionais	Exterior
Envio e recebimento de mensagens de WhatsApp	Exterior
Recursos de inteligência artificial (seção 7)	Exterior
Consulta de CNPJ, de CEP e localização de endereços	Brasil e exterior

Além desses prestadores, os dados só são compartilhados em três situações:

Integrações que a empresa usuária ativa. Exemplos: SEFAZ e emissor fiscal, bancos (Inter, Itaú, Sicoob, C6, Banco do Brasil), Mercado Pago, Melhor Envio e marketplaces (Mercado Livre, Shopee, TikTok Shop, iFood). A empresa decide quais integrações usar e quais dados envia a cada uma.
Pedidos de autoridades. Atendemos quando a lei exige. Seguimos a nossa Política de Resposta a Solicitações de Autoridades Públicas.
Operações societárias. Em caso de fusão ou aquisição, esta política continua valendo para os dados transferidos.

9. Transferência internacional

Parte dos prestadores da seção 8 processa dados fora do Brasil, principalmente nos Estados Unidos. Essas transferências seguem o art. 33 da LGPD. Elas são feitas com prestadores que oferecem garantias contratuais de proteção de dados e se limitam ao mínimo necessário para o serviço. O banco de dados principal e os arquivos do Enki.APP ficam no Brasil.

10. Cookies e armazenamento no navegador

Usamos apenas cookies essenciais e de preferência:

Sessão: mantém você conectado com segurança.
Idioma e tema: guarda suas preferências de idioma e de tema (claro ou escuro).
Dispositivo: identifica o aparelho quando a trava de dispositivo está ativa. É assinado, só o servidor tem acesso e dura até 2 anos.
Consentimento: registra a escolha que você fez no aviso de cookies.

Hoje o Enki.APP não usa cookies de publicidade nem ferramentas de rastreamento de terceiros (como Google Analytics ou Meta Pixel). Nas páginas públicas, o aviso de cookies permite aceitar, recusar ou configurar as categorias opcionais (estatística e marketing). Se passarmos a usar cookies opcionais, eles só serão ativados com o seu consentimento. Você também pode apagar os cookies nas configurações do navegador, mas o login deixará de funcionar.

11. Por quanto tempo guardamos

Conta e dados da empresa: enquanto o contrato estiver ativo. Depois do encerramento, podem ser mantidos pelo prazo necessário para cumprir obrigações legais e para exercer direitos em processos.
Documentos fiscais e financeiros: pelo menos 5 anos, conforme a legislação tributária.
Registros de consentimento de cookies: 5 anos.
Registros técnicos (logs) de monitoramento: 30 dias.
Dados tratados como operadores: seguem as instruções da empresa usuária. Quando o contrato termina, são excluídos ou devolvidos a pedido dela, exceto o que a lei nos obriga a guardar.

Terminado o prazo, os dados são excluídos ou anonimizados.

12. Como protegemos os dados

Conexão cifrada: toda comunicação usa conexão cifrada (HTTPS/TLS), com HSTS e política de segurança de conteúdo (CSP).
Isolamento entre empresas: cada empresa vê apenas os próprios dados. O isolamento é garantido por regras de segurança aplicadas no próprio banco de dados (Row Level Security).
Credenciais cifradas: senhas de integrações, certificados e tokens de acesso (bancos, WhatsApp, marketplaces, fiscal) são cifrados no banco, com chave mestra guardada em cofre separado.
Sessões curtas: as sessões usam tokens assinados de curta duração.
Controles opcionais para administradores: trava de dispositivo e horário de acesso.
Proteção contra abuso: limite de tentativas em login, cadastro e formulários públicos.
Rastreabilidade: trilha de auditoria das alterações e dados mascarados nas ferramentas de monitoramento.
Acesso restrito da equipe: o acesso da equipe da Cognitos é limitado ao necessário para suporte e operação. Ações administrativas sensíveis exigem autenticação em dois fatores.

Nenhum sistema é totalmente imune a falhas. Se houver um incidente de segurança com risco ou dano relevante aos titulares, comunicaremos a Autoridade Nacional de Proteção de Dados (ANPD) e os afetados, conforme o art. 48 da LGPD. Quando o incidente atingir dados tratados como operadores, avisaremos primeiro a empresa controladora.

13. Seus direitos

Pelo art. 18 da LGPD, você pode:

confirmar se tratamos dados seus e acessá-los;
corrigir dados incompletos, inexatos ou desatualizados;
pedir a anonimização, o bloqueio ou a eliminação de dados desnecessários ou tratados em desconformidade com a lei;
pedir a portabilidade dos dados;
pedir a eliminação dos dados tratados com base no seu consentimento;
saber com quem compartilhamos seus dados;
revogar o consentimento;
se opor a tratamento baseado em legítimo interesse;
reclamar à ANPD.

Como exercer seus direitos: na página Privacidade, você pode pedir a exportação ou a exclusão dos seus dados.

1. Informe seu e-mail no formulário.

2. Enviamos a esse e-mail um link de confirmação, válido por 30 minutos.

3. Para exclusão, pedimos uma segunda confirmação.

Os outros pedidos podem ser feitos pelos canais da seção 14. Respondemos em até 15 dias.

Alguns dados podem ser mantidos mesmo depois de um pedido de exclusão. É o caso dos documentos fiscais, que a lei manda guardar. Nesses casos, os dados pessoais que não forem necessários são anonimizados.

14. Contato e encarregado

Encarregado pelo tratamento de dados pessoais (DPO): tiago@cognitos.com.br

Atendimento geral: suporte@cognitos.com.br · WhatsApp (19) 98864-1484

15. Extensão "Enki – Captura de Leads"

A extensão para navegador Chrome só funciona com login em uma conta do Enki.APP. Ela copia dados públicos de empresas exibidos no Google Maps ou no Bing Maps (nome, telefone, endereço, site e avaliação) para o CRM da empresa usuária, somente quando o usuário aciona a captura. O histórico de capturas fica guardado no próprio navegador.

A empresa usuária é a controladora desses contatos. Cabe a ela usá-los de forma compatível com a LGPD, inclusive atendendo pedidos de oposição e de exclusão.

16. Crianças e adolescentes

O Enki.APP é um sistema de gestão empresarial destinado a maiores de 18 anos. Não coletamos intencionalmente dados de crianças e adolescentes como usuários da plataforma.

17. Alterações desta política

Podemos atualizar esta política para refletir mudanças no produto ou na legislação. A versão vigente fica sempre publicada nesta página, com número de versão e data de atualização. Se a mudança for relevante, avisaremos os clientes por e-mail ou dentro do sistema.