Política de Privacidade — CarDash

Versão: v1.0 (minuta) · Vigência a partir de: [DATA DE PUBLICAÇÃO] · Última atualização: 26/09/2026

⚠️ Minuta — aguardando revisão jurídica. Os campos entre colchetes [ ] precisam ser preenchidos com os dados reais antes da publicação. Não publique sem revisão de um(a) advogado(a).

Resumo (TL;DR)

• O CarDash é uma plataforma que oficinas mecânicas usam para gerir clientes, veículos, orçamentos, ordens de serviço, vistorias e recibos.
• Quando você é dono de uma oficina, o CarDash é o controlador dos dados da sua conta e dos registros de segurança da plataforma.
• Quando você é cliente de uma oficina (dono de um veículo), quem decide sobre seus dados é a oficina — o CarDash apenas processa esses dados por conta dela (somos operador).
• Não vendemos seus dados e não fazemos publicidade com eles.
• Você pode confirmar, acessar, corrigir, excluir, portar seus dados e exercer os demais direitos do art. 18 da LGPD pelo e-mail do Encarregado: [encarregado@cardash.com.br].

1. Quem somos (Identificação do controlador)

• Nome da plataforma: CarDash
• Razão social: [RAZÃO SOCIAL DA EMPRESA]
• CNPJ: [CNPJ]
• Endereço: [ENDEREÇO COMPLETO]
• Site: https://cardash.wamanadev.com.br

2. Papéis: quem é o controlador de quê

A LGPD distingue quem decide sobre o tratamento (controlador) de quem apenas executa por conta de outro (operador). No CarDash:

Se você é cliente de uma oficina, os pedidos sobre seus dados (correção, exclusão etc.) são decididos pela oficina que atendeu seu veículo. Podemos encaminhar seu pedido à oficina responsável e ajudá-la a atendê-lo.

3. Encarregado pela Proteção de Dados (DPO)

• Encarregado(a): [NOME OU NOME EMPRESARIAL DO ENCARREGADO]
• E-mail: [encarregado@cardash.com.br]
• Canal: e-mail acima (ou formulário em https://cardash.wamanadev.com.br/privacidade)

4. Quais dados tratamos, para quê e com qual base legal

Bases legais da LGPD citadas: V execução de contrato (art. 7º, V) · II cumprimento de obrigação legal/regulatória (art. 7º, II) · VI exercício regular de direitos (art. 7º, VI) · I consentimento (art. 7º, I) · IX legítimo interesse (art. 7º, IX).

4.1 Oficina e usuário (titular: dono da oficina) — controlador: CarDash

• Dados: nome da oficina, endereço (slug) da página pública, CNPJ/CPF, telefone, e-mail, endereço, logo; e-mail e senha de login (a senha é guardada apenas de forma cifrada pelo provedor de autenticação); nome do usuário; plano contratado.
• Finalidade: criar e operar a conta, autenticar o acesso, identificar a oficina nos documentos e na página pública, liberar recursos do plano.
• Base legal: execução de contrato (V).
• Retenção: enquanto a conta existir + 90 dias após o encerramento.

4.2 Cliente da oficina (titular: cliente) — controlador: a oficina; operador: CarDash

• Dados: nome, telefone, e-mail (opcional), CPF (opcional), endereço (opcional), observações operacionais.
• Finalidade: identificar o cliente na ordem de serviço, orçamento, vistoria e recibo; contato e envio de documentos; acesso ao portal do histórico (por placa + CPF ou por código enviado ao e-mail).
• Base legal: execução de contrato entre o cliente e a oficina (V).
• Proteções específicas: o CPF é guardado criptografado e indexado por um código derivado (HMAC), nunca em texto aberto; no portal, o nome aparece mascarado (ex.: "Maria S.").
• Retenção: 5 anos após a última entrega do veículo (prazo do Código de Defesa do Consumidor); sem ordem de serviço, até a exclusão ou 2 anos de inatividade.

4.3 Veículo

• Dados: placa, marca, modelo, ano, cor; opcionalmente chassi (VIN), KM, motorização, combustível, freios, código do motor.
• Finalidade: identificar o veículo, orçar e executar o serviço, comprar peças; a placa também dá acesso ao portal do histórico.
• Base legal: execução de contrato (V).
• Retenção: mesmo prazo das ordens de serviço do veículo.

4.4 Ordem de serviço, orçamento, vistoria e pagamento

• Dados: relato do cliente, datas e status; itens, valores e procedência das peças; forma e evidência de aprovação; KM, combustível, pertences, marcações de avaria e fotos; assinatura (traço), nome do signatário, termo aceito, hash do documento, horários, IP e user agent; pagamentos; PDFs gerados.
• Finalidade: executar e comprovar o serviço, emitir orçamento e recibo (CDC arts. 21, 39, VI e 40), registrar o estado do veículo na entrada e na saída, e provar a concordância do cliente (MP 2.200-2, art. 10, §2º).
• Base legal: execução de contrato (V), obrigação legal (II) e exercício regular de direitos (VI).
• Retenção: 5 anos após a entrega.

Fotos das avarias: podem, sem querer, capturar rostos, documentos esquecidos no veículo ou placas de terceiros. Orientamos a oficina a enquadrar apenas o veículo. As fotos são otimizadas e os metadados de localização (EXIF/GPS) são removidos antes do envio.

4.5 Fornecedor (pessoa jurídica; contatos são pessoas físicas) — controlador: a oficina

• Dados: razão social e telefone; opcionalmente CNPJ, endereço, dados de pagamento/PIX, frete, linhas de atuação, horário; contatos (nome, canal).
• Finalidade: comprar peças e efetuar pagamentos.
• Base legal: execução de contrato (V).
• Retenção: enquanto ativo + 5 anos após a última compra.

4.6 Registros de segurança da plataforma — controlador: CarDash

• Dados: acessos às páginas públicas e ao portal (IP, user agent, data/hora, método, sucesso); auditoria de alterações (quem, o quê, quando — o CPF nunca é registrado em texto aberto); códigos de acesso por e-mail (guardados apenas como hash).
• Finalidade: segurança, limite de tentativas e prova, atendendo ao Marco Civil da Internet (art. 15).
• Base legal: obrigação legal (II) e exercício regular de direitos (VI).
• Retenção: registros de acesso por 6 meses; auditoria pelo mesmo prazo do registro auditado; códigos de e-mail por 15 minutos (limpeza diária).

Não coletamos gênero, data de nascimento, RG, nem dados sensíveis (art. 5º, II da LGPD). Orientamos as oficinas a não registrar dados sensíveis no campo de observações.

5. Como tratamos os dados (forma e duração)

• Coleta: pelo uso da plataforma (cadastros, orçamentos, vistorias) e, no portal, pela consulta do próprio cliente.
• Armazenamento: em servidores do nosso provedor de infraestrutura na região de São Paulo (Brasil), com criptografia em trânsito (TLS) e em repouso.
• Isolamento: cada oficina é um ambiente isolado; uma oficina não acessa os dados de outra. O isolamento é imposto no banco de dados (Row Level Security), não só na tela.
• Acesso interno: restrito ao estritamente necessário e registrado.
• Duração: cada finalidade tem seu próprio prazo (seção 4). Encerrado o prazo, os dados pessoais são excluídos ou anonimizados.

6. Com quem compartilhamos (uso compartilhado)

Não vendemos dados. Compartilhamos apenas com operadores necessários para a plataforma funcionar, e com o próprio titular:

Portal unificado: ao usar o CarDash, a oficina autoriza que o histórico dos serviços do veículo fique disponível ao respectivo cliente no portal, inclusive reunindo serviços feitos em oficinas CarDash diferentes, sempre com dados mascarados e mediante comprovação (placa + CPF, código por e-mail ou link específico).

7. Transferência internacional de dados

A infraestrutura principal (banco, autenticação e arquivos) fica no Brasil. Alguns operadores auxiliares podem tratar dados fora do país. Nesses casos, adotamos as cláusulas-padrão contratuais aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024) ou outra garantia prevista no art. 33 da LGPD. [CONFIRMAR e listar quais operadores após a verificação de regiões.]

8. Seus direitos (art. 18 da LGPD)

Você pode, a qualquer momento:

• Confirmar se tratamos seus dados e acessá-los;
• Corrigir dados incompletos, inexatos ou desatualizados;
• Anonimizar, bloquear ou eliminar dados desnecessários, excessivos ou tratados em desconformidade;
• Portar seus dados a outro fornecedor;
• Eliminar dados tratados com base no consentimento;
• Saber com quem compartilhamos;
• Ser informado sobre a possibilidade de não consentir e as consequências;
• Revogar o consentimento, quando essa for a base do tratamento.

Como exercer: e-mail do Encarregado [encarregado@cardash.com.br]. Se você é cliente de uma oficina, o pedido é decidido pela oficina; podemos encaminhá-lo e apoiar o atendimento.

Prazo de resposta: imediato para simples confirmação de existência ou acesso; até 15 dias para os demais pedidos (art. 19, II da LGPD).

Limites legais: alguns dados precisam ser mantidos mesmo após o pedido de exclusão, para cumprir prazos legais (ex.: 5 anos do CDC para registros de serviço). Nesses casos, bloqueamos o acesso e anonimizamos ao fim do prazo.

9. Cookies e tecnologias similares

O CarDash usa apenas cookies estritamente necessários ao funcionamento — principalmente para manter a sua sessão autenticada com segurança. Não usamos cookies de marketing nem de rastreamento publicitário, e não montamos perfis de navegação. Por serem indispensáveis, esses cookies não exigem consentimento prévio.

10. Crianças e adolescentes

O CarDash é uma ferramenta de trabalho para oficinas e não é direcionado a menores de idade. Não coletamos intencionalmente dados de crianças e adolescentes. Aplicam-se a Lei nº 13.709/2018 (LGPD, art. 14) e a Lei nº 15.211/2025 (ECA Digital). Se identificar tratamento indevido de dados de menor, contate o Encarregado.

11. Segurança

Adotamos medidas técnicas e administrativas para proteger os dados, entre elas:

• Criptografia em trânsito (TLS) e em repouso;
• CPF criptografado e indexado por HMAC (nunca em texto aberto);
• Isolamento por oficina no banco de dados (Row Level Security);
• Documentos assinados imutáveis e verificáveis por hash (SHA-256);
• Autenticação com verificação em duas etapas disponível;
• Controle de acesso por função e registro de auditoria;
• Limite de tentativas e proteção contra abuso;
• Plano de resposta a incidentes.

Se ocorrer um incidente de segurança que possa acarretar risco ou dano relevante, comunicaremos os titulares afetados e a ANPD conforme a Resolução CD/ANPD nº 15/2024 (em regra, em até 3 dias úteis).

12. Mudanças nesta política

Esta política pode ser atualizada. Mudanças materiais (novas finalidades, bases legais, compartilhamentos, transferências internacionais, retenção ou direitos) serão comunicadas com antecedência razoável por e-mail ou aviso no aplicativo. O histórico de versões fica disponível ao fim deste documento.

13. Contato e ANPD

• Encarregado: [encarregado@cardash.com.br]
• Autoridade Nacional de Proteção de Dados (ANPD): https://www.gov.br/anpd

Histórico de versões

• v1.0 ([DATA]): publicação inicial.

Pendências antes de publicar (ver docs/inventario-de-dados.md):

• [ ] Preencher razão social, CNPJ, endereço e e-mail do Encarregado.
• [ ] Confirmar regiões e transferência internacional de Vercel, PowerSync, Resend e Cloudflare (art. 33) e ajustar as seções 6 e 7.
• [ ] Revisão por advogado(a).