Política de Privacidade
Esta política explica quais dados pessoais a Nória Fleet trata, para quê, por quanto tempo e com quem os compartilha. Também mostra como você exerce seus direitos previstos na Lei Geral de Proteção de Dados (LGPD).
Fonte: https://noriafleet.com.br/pt-BR/privacy/2/
Quem é o controlador
O controlador dos dados descritos nesta política é [a definir], CNPJ [a definir], com endereço em [a definir].
Encarregado pelo tratamento de dados pessoais: [a definir], e-mail [a definir]. Canal geral de contato: [a definir].
| Dado | Papel da Nória Fleet | Quem é o controlador |
|---|---|---|
| Conta, perfil, sessão, aceites, pedidos, relatos de suporte, contato do site, registros de acesso | controlador | [a definir] |
| Dados que a empresa cliente cadastra (veículos, documentos, manutenção, abastecimentos, despesas, checklists, fotos, anexos) | operador (art. 5º, VII) | a empresa cliente |
| Cobrança da empresa | controlador dos registros locais; a Stripe processa o pagamento | [a definir] e Stripe |
O que tratamos
| Funcionalidade | Dados | Finalidade | Base legal |
|---|---|---|---|
| Formulário de contato (site) | nome, e-mail, assunto, mensagem, idioma, código derivado do IP (hash salgado, não o IP) | responder e prevenir abuso | legítimo interesse (art. 7º, IX) |
| Verificação anti-robô (site) | o que o navegador envia à Cloudflare Turnstile no formulário; a API não envia o IP à Cloudflare | prevenir abuso | legítimo interesse (art. 7º, IX) |
| Conta | nome, e-mail, hash da senha, situação da conta, data de confirmação do e-mail | prestar o serviço e autenticar | execução de contrato (art. 7º, V) |
| Perfil (opcional) | telefone, CPF, endereço, foto | identificação e contato dentro do serviço | execução de contrato (art. 7º, V) |
| Sessão e segurança | tokens de sessão, links de confirmação e de redefinição de senha (guardados só como hash) | manter a sessão e recuperar o acesso | execução de contrato; legítimo interesse |
| Convites | e-mail da pessoa convidada, papel, empresa, quem convidou | dar acesso a uma empresa | execução de contrato; legítimo interesse da empresa cliente |
| Vínculos | empresa, papel, entrada e saída | controle de acesso e histórico | execução de contrato (art. 7º, V) |
| Relato de suporte | tipo, assunto, descrição, página, idioma; dados do navegador só se você marcar a opção | atender o relato | execução de contrato; dados do navegador: consentimento (art. 7º, I) |
| Aceite dos termos | documento, versão, idioma, canal, instante, código derivado do IP (hash salgado) | provar o aceite | exercício regular de direitos (art. 7º, VI) |
| Pedido de exclusão | datas e situação do pedido | provar o atendimento | cumprimento de obrigação legal (art. 7º, II) |
| Cobrança | dados da empresa, identificadores e situação na Stripe, valores; o cartão nunca passa pela Nória Fleet | cobrar o plano | execução de contrato; obrigação legal fiscal |
| Registros de acesso | IP, data e hora, rota, navegador (user-agent), identificador do usuário, e-mail mascarado | segurança e diagnóstico | obrigação legal e legítimo interesse |
| Medição de uso do site (só se você aceitar) | tipo de evento (página vista, bloco visto, clique em botão, planos vistos, pergunta aberta, contato enviado), qual bloco, botão ou pergunta, idioma, página, domínio do site de onde você veio, data e hora; sem IP, sem identificador do navegador ou do aparelho e sem ligação com conta | saber, em números somados por período, quais partes do site são úteis | consentimento (art. 7º, I) |
Na medição de uso do site, o IP de quem envia o evento chega à API como em qualquer acesso: é usado só na memória do servidor para limitar o volume de envios e pode constar dos registros de acesso, com o prazo deles. Ele nunca é gravado junto do evento.
Por quanto tempo guardamos
| Dado | Prazo |
|---|---|
| Mensagem de contato | 365 dias do recebimento; a cópia na caixa de e-mail da equipe é apagada por rotina manual mensal, em até 12 meses do recebimento |
| Relato de suporte | 365 dias; antes disso, se você excluir a conta |
| Tokens de sessão, confirmação e senha | 30 dias após expirar (a sessão expira em 7 dias, o link de senha em 1 hora, o de confirmação em 24 horas) |
| Eventos de pagamento recebidos da Stripe | 90 dias |
| Convites | expiram em 7 dias; o e-mail é anonimizado 180 dias após o vencimento |
| Conta não confirmada | anonimizada 30 dias após o cadastro |
| Conta e perfil | enquanto a conta existir; anonimizados 7 dias após o pedido de exclusão |
| Aceites e pedidos de exclusão | mantidos como prova, sem dado pessoal depois da anonimização |
| Cobrança | enquanto a empresa existir e pelo prazo fiscal |
| Medição de uso do site | 90 dias do registro; depois é apagada automaticamente |
| Registros de acesso | pelo prazo da plataforma de registros, a definir |
Com quem compartilhamos
Não vendemos nem alugamos dados pessoais. Usamos os operadores abaixo para prestar o serviço. Dados só são entregues a autoridades por obrigação legal ou ordem judicial. Ao preencher um endereço, consultamos o serviço público ViaCEP a partir do nosso servidor: ele recebe apenas o CEP digitado, sem o seu IP, o seu navegador ou qualquer identificador seu, e não guardamos o que ele responde além do endereço que você salva.
| Operador | Para quê | Dados |
|---|---|---|
| Stripe | pagamentos | dados de cobrança da empresa |
| Amazon Web Services (S3) | armazenamento de arquivos | fotos, logotipos, anexos e documentos enviados |
| Cloudflare (Turnstile) | verificação anti-robô no site | dados do navegador no desafio |
| Provedor de e-mail (SMTP) | e-mails da conta | e-mail, nome e conteúdo do e-mail |
| Plataforma de registros (quando ativada) | registros de acesso | IP, rota, navegador e identificador do usuário |
| ViaCEP (consulta pública) | preencher o endereço a partir do CEP | apenas o CEP digitado |
Transferência internacional
Stripe e Cloudflare tratam dados fora do Brasil. A região do armazenamento de arquivos, do provedor de e-mail e da plataforma de registros será confirmada na implantação. Quando houver transferência internacional, ela se apoia nos mecanismos do art. 33 da LGPD aplicáveis, como cláusulas contratuais.
Cookies e armazenamento local
Não usamos ferramentas de análise, publicidade nem rastreamento de terceiros. No site, fazemos uma medição de uso própria, descrita em "O que tratamos", só se você aceitar no aviso de privacidade; sem aceite, ou se você recusar, nada é medido. Se passarmos a usar uma ferramenta de terceiros, pediremos seu consentimento antes de carregá-la. Todos os itens abaixo são estritamente necessários ou guardam uma escolha sua.
Você muda a escolha sobre a medição quando quiser, em "Preferências de privacidade", no rodapé do site, com a mesma facilidade de aceitar. Ao recusar, a medição para na hora. O que já foi registrado não tem identificador que ligue os eventos a você, por isso não conseguimos localizá-lo nem apagá-lo por pessoa; ele é apagado automaticamente em 90 dias.
| Nome | Onde | Tipo | Para quê | Duração |
|---|---|---|---|---|
| nb_access | área logada | cookie HttpOnly | sessão | 15 minutos |
| nb_refresh | área logada | cookie HttpOnly | renovar a sessão | 7 dias |
| nb_expired | área logada | cookie HttpOnly | avisar que a sessão expirou | 10 segundos |
| nb_locale, nb_company, nb_sidebar, nb_onboarding | área logada | cookie | idioma, empresa ativa, menu recolhido, boas-vindas puladas | 1 ano |
| nb_locale | site | armazenamento local | idioma escolhido | até você limpar |
| nb_analytics_consent | site | armazenamento local | guardar se você aceitou ou recusou a medição de uso | até você limpar ou mudar a escolha |
| nb_theme | site e área logada | armazenamento local | tema claro ou escuro | até você limpar |
| rascunhos e últimas escolhas de formulários (defeito, documento, despesa, abastecimento, checklist) | área logada | armazenamento local | não perder o que foi digitado e lembrar a última escolha | rascunho: até enviar ou 7 dias sem edição; tudo é apagado ao sair da conta ou pedir a exclusão |
Seus direitos
A LGPD (art. 18) garante a você: confirmação de que tratamos seus dados; acesso; correção; anonimização, bloqueio ou eliminação de dados desnecessários; portabilidade; informação sobre com quem compartilhamos; revogação do consentimento; e petição à Autoridade Nacional de Proteção de Dados (ANPD).
- Na área logada, em "Meu perfil > Privacidade": baixe seus dados ou peça a exclusão da conta.
- Em "Meu perfil > Perfil" e "Meu perfil > Endereço": corrija seus dados.
- No site, em "Preferências de privacidade" (rodapé): aceite ou recuse a medição de uso, ou revogue o aceite.
- Por e-mail ao encarregado ([a definir]) ou pelo formulário de contato do site.
Respondemos de imediato, em formato simplificado, ou em até 15 dias, em declaração completa. Dados de frota (veículos, documentos, manutenção, abastecimentos, despesas, checklists) são da empresa cliente, que é a controladora: o pedido sobre eles deve ser feito a ela.
Exclusão de conta
Ao pedir a exclusão, sua conta é anonimizada 7 dias depois. Até lá você pode cancelar o pedido na área logada, para onde leva o link do e-mail que confirma o pedido. Depois dessa data não é possível desfazer.
Se você for o último administrador de uma empresa ativa, a exclusão não pode ser feita até outra pessoa assumir a administração ou a empresa ser inativada: a área logada mostra o que falta resolver. Se isso acontecer durante os 7 dias, o pedido fica bloqueado, nada é anonimizado e você é avisado para resolver e pedir de novo.
| Some ou é anonimizado | Fica (e por quê) |
|---|---|
| nome, e-mail, CPF, telefone, endereço, foto, senha e idioma | registros de que você aceitou os termos e pediu a exclusão (prova, sem dado pessoal) |
| vínculos com empresas, sessões e preferências de notificação | histórico da frota (veículos, manutenção, documentos, abastecimentos, despesas, checklists), exibido como "Usuário removido" (a empresa cliente precisa dele) |
| relatos de suporte | cobrança e pagamentos (são da empresa e têm prazo fiscal) |
| seu e-mail nos convites recebidos | registros de acesso, pelo prazo da plataforma de registros |
| mensagens enviadas pelo formulário do site com o e-mail da conta, se ele foi confirmado (nome, e-mail, assunto e texto) | o que foi digitado na página de pagamento da Stripe (como e-mail e cartão), guardado pela Stripe |
| código derivado do IP guardado nos aceites | avisos do sistema já gerados, ligados só ao identificador da conta |
Segurança
- Senhas guardadas com argon2id, nunca em texto.
- Tráfego só por HTTPS (HSTS).
- Cookies de sessão HttpOnly.
- Tokens guardados só como hash.
- Documentos de veículo em armazenamento privado, com download autenticado.
- Isolamento entre empresas verificado a cada requisição.
- Limites de tentativas e registros com dados sensíveis mascarados.
Crianças e adolescentes
A Nória Fleet é um serviço para empresas, destinado a maiores de 18 anos. Não tratamos intencionalmente dados de crianças ou adolescentes.
Mudanças nesta política
Cada versão tem número e data de vigência, e o histórico das versões fica público nesta página. Quando a mudança for relevante, pediremos um novo aceite na área logada antes de você continuar.
Contato
Encarregado: [a definir], [a definir]. Canal geral: [a definir].
Versões deste documento
- Versão 2, vigente a partir de 23 de novembro de 2026 (próxima)
- Versão 1, vigente desde 18 de outubro de 2026 (vigente)