Política de Privacidade — Quórum

Versão 1.6 · vigente desde 20/08/2026 · Data Protect LTDA

Esta Política explica como a Data Protect LTDA (CNPJ 64.650.251/0001-02, com sede na Rua Barão de Souza Leão, 1395, Sala 105 — Recife/PE) trata os dados pessoais de quem usa as plataformas titulle. Escrevemos do jeito que gostaríamos de ler: direto e sem juridiquês. Aqui tratamos dos dados dos usuários da Plataforma (cadastro e conta); os dados que a sua empresa insere no uso do serviço são tratados conforme o Acordo de Tratamento de Dados (DPA) do produto, em que atuamos como operadora.

1. Quais dados coletamos — e por quê

Estes tratamentos existem em todos os produtos titulle. O Anexo do Produto acrescenta o que for específico dele.

O que não fazemos, em nenhum produto: não vendemos dados; não usamos seus dados para publicidade; não usamos cookies de rastreamento ou marketing; não usamos analytics de terceiros; não enviamos comunicações comerciais sem a sua permissão.

2. Princípio da minimização

Coletamos apenas o necessário para prestar o serviço. Campos opcionais estão marcados como opcionais e você pode não preenchê-los.

3. Com quem os dados são compartilhados

Usamos fornecedores de infraestrutura que atuam como nossos operadores, sob contrato e com certificações de segurança (SOC 2 e ISO/IEC 27001). A lista de suboperadores de cada produto está no Anexo do Produto (varia conforme o software). Não há venda ou cessão de dados a terceiros. Autoridades públicas podem receber dados mediante obrigação legal ou ordem válida.

4. Onde os dados ficam / transferência internacional

Nossa promessa de casa é dados no Brasil: o armazenamento primário e o processamento ocorrem em São Paulo. De forma residual, a rede de distribuição (borda/CDN) do provedor de aplicação pode processar tráfego fora do país; além disso, alguns produtos usam suboperadores que processam certos dados no exterior (indicados no Anexo do Produto, ex.: envio de e-mail transacional, monitoramento de erros). Essas transferências se apoiam nas garantias contratuais e certificações dos provedores, nos termos dos arts. 33 e seguintes da LGPD.

5. Por quanto tempo guardamos

• Conta ativa: enquanto durar a relação.
• Conta encerrada: os dados da empresa ficam disponíveis para exportação por 30 dias e são então excluídos ou anonimizados, ressalvados registros que a lei manda guardar (ex.: fiscais) e a trilha de auditoria mínima necessária à segurança e à responsabilização. Prazos específicos por tipo de dado estão no Anexo do Produto.
• Exclusão da sua conta (self-service): você pode excluir a sua conta pela própria Plataforma. Ao fazê-lo, seus dados pessoais de cadastro são anonimizados e o seu acesso é revogado, de forma imediata e irreversível — não há período de arrependimento. A trilha de auditoria é imutável e permanece sem identificar você: preserva o registro de que houve uma conta e das ações realizadas, mas sem os seus dados pessoais. Os dados sob controladoria da organização (por exemplo, atas, requisições, empresas e diagnósticos) não são apagados com a exclusão da sua conta individual — pertencem à organização e seguem a retenção do contrato dela. Para encerrar a organização inteira e expurgar a sua base, fale com o encarregado.

6. Como protegemos (art. 46, LGPD)

Isolamento por empresa imposto no banco de dados (Row-Level Security), criptografia em trânsito e em repouso, verificação em duas etapas (MFA) disponível, trilha de auditoria imutável (somente acréscimo), backups diários, residência de dados no Brasil, segredos fora do código e acesso interno restrito ao mínimo necessário. Medidas adicionais específicas constam do Anexo do Produto e da nossa Política de Segurança da Informação.

7. Seus direitos

Você pode exercer os direitos do art. 18 da LGPD — confirmação, acesso, correção, anonimização, portabilidade, eliminação, informação sobre compartilhamentos e revogação de consentimento — pelo canal do encarregado abaixo. Respondemos nos prazos legais. As exportações de dados e a exclusão da sua conta estão disponíveis diretamente na Plataforma: a exclusão anonimiza os seus dados pessoais e revoga o seu acesso (ver seção 5), atendendo ao direito de eliminação sem apagar a trilha de auditoria, que permanece sem identificar você. O encerramento da organização inteira e demais solicitações do art. 18 são atendidos pelo canal do encarregado. Você também pode peticionar à Autoridade Nacional de Proteção de Dados (ANPD) a respeito do tratamento dos seus dados (art. 18, §1º, LGPD).

8. Encarregado (DPO)

João Pimentel Neto — Data Protect LTDA Contato: dpo@dtprotect.com.br

9. Mudanças nesta Política

Alterações relevantes são avisadas pelos canais da conta com antecedência. Mantemos o histórico de versões e a data de vigência sempre visível no topo.

---

Condições específicas — Quórum

Papel da Data Protect (estado-alvo SaaS)

Dados tratados como CONTROLADORA (dados de cadastro/conta)

Exclusão de conta (self-service): ao excluir a própria conta pela Plataforma, os dados de cadastro do usuário (nome, e-mail) são anonimizados e o acesso é revogado; o log de auditoria é preservado sem identificar o usuário. As atas e os dados dos participantes permanecem sob a organização controladora e seguem a retenção por ela definida — a exclusão da conta individual não os apaga. O encerramento da organização inteira é tratado com o encarregado.

Dados tratados como OPERADORA (por conta da organização cliente)

Retenção das atas: o sistema carrega e exibe o prazo de retenção; o valor do prazo é decisão de negócio da controladora (DPO do cliente), não do código.

Acesso administrativo da operadora (backoffice)

Para suporte, administração de contas e gestão de planos, uma equipe restrita da Data Protect (equipe titulle) dispõe de um painel administrativo interno cujo acesso técnico atravessa as organizações clientes — não fica limitado a um único tenant. Esse acesso:

• é restrito a integrantes autorizados por lista nominal de e-mails;
• exige verificação em duas etapas (MFA) ativa na sessão;
• opera sob dever de sigilo e pelo princípio do menor privilégio — usado apenas para prestar o serviço, cumprir a lei ou atender pedido do próprio Cliente;
• é registrado em trilha de auditoria própria (autor, ação, data/hora).

Não acessamos o conteúdo das atas para fins próprios. Trata-se da mesma postura já adotada no titulle Requisições.

Suboperadores

Sobre o Asaas. Ao contratar um plano pago, enviamos ao Asaas o nome da organização, o CNPJ e o e-mail de quem faz a contratação, para emitir a cobrança. Nenhum conteúdo de ata, pauta, deliberação ou dado de participante é transmitido ao Asaas. Os dados do cartão são digitados diretamente no ambiente do Asaas e não passam pelos nossos servidores. Segundo a política de privacidade do próprio Asaas, parte desses dados pode ser tratada fora do Brasil. Como instituição de pagamento, o Asaas também trata esses dados por obrigação regulatória própria, hipótese em que atua como controlador independente e responde por esse tratamento.

Relatório de Impacto (RIPD)

O Quórum possui RIPD próprio, validado pelo encarregado em 21/07/2026 — elaborado porque o conteúdo de deliberações pode conter dados sensíveis incidentais e envolve dados de terceiros não-usuários. Documento interno; reavaliado a cada mudança relevante de escopo de tratamento.

---